e5731d0e61fe4c99e6dad8ac1f55bac1bd6cd1df
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26 * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
27   EC_KEY_precompute_mult() These functions are not widely used and applications
28   should instead switch to named curves which OpenSSL has hardcoded lookup
29   tables for.
30
31   *Billy Bob Brumley*
32
33  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
34    should instead use the L<EC_POINT_mul(3)> function.
35
36    *Billy Bob Brumley*
37
38  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
39    that are not applicable to the new provider model. Applications should
40    instead use EVP_default_properties_is_fips_enabled() and
41    EVP_default_properties_enable_fips().
42
43    *Shane Lontis*
44
45  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
46    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
47    used and applications should instead use the
48    L<EC_POINT_set_affine_coordinates(3)> and
49    L<EC_POINT_get_affine_coordinates(3)> functions.
50
51    *Billy Bob Brumley*
52
53  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
54    arrays to be more easily constructed via a series of utility functions.
55    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
56    the various push functions and finally convert to a passable OSSL_PARAM
57    array using OSSL_PARAM_BLD_to_param().
58
59    *Paul Dale*
60
61  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
62    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
63    internal keys, if they correspond to one of those built in types.
64
65    *Richard Levitte*
66
67  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
68    contain a provider side internal key.
69
70    *Richard Levitte*
71
72  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
73    They are old functions that we don't use, and that you could disable with
74    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
75
76    *Richard Levitte*
77
78  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
79    have been converted to Markdown with the goal to produce documents
80    which not only look pretty when viewed online in the browser, but
81    remain well readable inside a plain text editor.
82
83    To achieve this goal, a 'minimalistic' Markdown style has been applied
84    which avoids formatting elements that interfere too much with the
85    reading flow in the text file. For example, it
86
87    * avoids [ATX headings][] and uses [setext headings][] instead
88      (which works for `<h1>` and `<h2>` headings only).
89    * avoids [inline links][] and uses [reference links][] instead.
90    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
91
92      [ATX headings]:         https://github.github.com/gfm/#atx-headings
93      [setext headings]:      https://github.github.com/gfm/#setext-headings
94      [inline links]:         https://github.github.com/gfm/#inline-link
95      [reference links]:      https://github.github.com/gfm/#reference-link
96      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
97      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
98
99    *Matthias St. Pierre*
100
101  * The test suite is changed to preserve results of each test recipe.
102    A new directory test-runs/ with subdirectories named like the
103    test recipes are created in the build tree for this purpose.
104
105    *Richard Levitte*
106
107  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
108    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
109    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
110
111    *David von Oheimb, Martin Peylo*
112
113  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
114    The legacy OCSP-focused and only partly documented API is retained.
115    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
116
117    *David von Oheimb*
118
119  * All of the low level RSA functions have been deprecated including:
120
121    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
122    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
123    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
124    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
125    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
126    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
127    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
128    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
129    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
130    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
131    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
132    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
133    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
134    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
135    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
136    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
137    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
138    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
139    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
140    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
141    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
142    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
143    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
144    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
145    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
146    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
147    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
148    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
149
150    Use of these low level functions has been informally discouraged for a long
151    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
152    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
153    L<EVP_PKEY_decrypt(3)>.
154
155    *Paul Dale*
156
157  * X509 certificates signed using SHA1 are no longer allowed at security
158    level 1 and above.
159    In TLS/SSL the default security level is 1. It can be set either
160    using the cipher string with @SECLEVEL, or calling
161    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
162    a call to SSL_CTX_use_certificate() will fail if the security level is not
163    lowered first.
164    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
165    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
166    options of the apps.
167
168    *Kurt Roeckx*
169
170  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
171    modified to use PKEY APIs.  These commands are now in maintenance mode
172    and no new features will be added to them.
173
174    *Paul Dale*
175
176  * The command line utility rsautl has been deprecated.
177    Instead use the pkeyutl program.
178
179    *Paul Dale*
180
181  * The command line utilities genrsa and rsa have been modified to use PKEY
182    APIs  These commands are now in maintenance mode and no new features will
183    be added to them.
184
185    *Paul Dale*
186
187  * All of the low level DH functions have been deprecated including:
188
189    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
190    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
191    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
192    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
193    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
194    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
195    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
196    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
197    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
198    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
199    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
200    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
201    DH_meth_get_generate_params and DH_meth_set_generate_params.
202
203    Use of these low level functions has been informally discouraged for a long
204    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
205    and L<EVP_PKEY_derive(3)>.
206
207    *Paul Dale*
208
209  * All of the low level DSA functions have been deprecated including:
210
211    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
212    DSA_get_default_method, DSA_set_method, DSA_get_method,
213    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
214    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
215    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
216    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
217    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
218    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
219    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
220    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
221    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
222    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
223    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
224    DSA_meth_set_keygen.
225
226    Use of these low level functions has been informally discouraged for a long
227    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
228    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
229
230    *Paul Dale*
231
232  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
233    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
234    This means that applications don't have to look at the curve NID and
235    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
236    However, they still can, that EVP_PKEY_set_alias_type() call acts as
237    a no-op when the EVP_PKEY is already of the given type.
238
239    Parameter and key generation is also reworked to make it possible
240    to generate EVP_PKEY_SM2 parameters and keys without having to go
241    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
242    However, code that does the latter will still work as before.
243
244    *Richard Levitte*
245
246  * Deprecated low level ECDH and ECDSA functions.  These include:
247
248    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
249    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
250    ECDSA_size.
251
252    Use of these low level functions has been informally discouraged for a long
253    time.  Instead applications should use the EVP_PKEY_derive(3),
254    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
255
256    *Paul Dale*
257
258  * Deprecated the EC_KEY_METHOD functions.  These include:
259
260    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
261    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
262    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
263    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
264    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
265    EC_KEY_METHOD_get_verify.
266
267    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
268
269    *Paul Dale*
270
271  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
272    and EVP_PKEY_decrypt() instead.
273    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
274    and EVP_PKEY_encrypt() instead.
275
276    *Richard Levitte*
277
278  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
279    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
280    a new formulation to include all the things it can be used for,
281    as well as words of caution.
282
283    *Richard Levitte*
284
285  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
286    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
287
288    *Paul Dale*
289
290  * All of the low level HMAC functions have been deprecated including:
291
292    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
293    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
294    and HMAC_CTX_get_md.
295
296    Use of these low level functions has been informally discouraged for a long
297    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
298    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
299    and L<EVP_MAC_final(3)>.
300
301    *Paul Dale*
302
303  * Over two thousand fixes were made to the documentation, including:
304    - Common options (such as -rand/-writerand, TLS version control, etc)
305      were refactored and point to newly-enhanced descriptions in openssl.pod.
306    - Added style conformance for all options (with help from Richard Levitte),
307      documented all reported missing options, added a CI build to check
308      that all options are documented and that no unimplemented options
309      are documented.
310    - Documented some internals, such as all use of environment variables.
311    - Addressed all internal broken L<> references.
312
313    *Rich Salz*
314
315  * All of the low level CMAC functions have been deprecated including:
316
317    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
318    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
319
320    Use of these low level functions has been informally discouraged for a long
321    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
322    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
323    and L<EVP_MAC_final(3)>.
324
325    *Paul Dale*
326
327  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
328    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
329    These include:
330
331    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
332    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
333    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
334    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
335    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
336    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
337    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
338    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
339    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
340    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
341
342    Use of these low level functions has been informally discouraged
343    for a long time.  Applications should use the EVP_DigestInit_ex(3),
344    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
345
346    *Paul Dale*
347
348  * Corrected the documentation of the return values from the `EVP_DigestSign*`
349    set of functions.  The documentation mentioned negative values for some
350    errors, but this was never the case, so the mention of negative values
351    was removed.
352
353    Code that followed the documentation and thereby check with something
354    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
355
356    *Richard Levitte*
357
358  * All of the low level cipher functions have been deprecated including:
359
360    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
361    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
362    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
363    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
364    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
365    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
366    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
367    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
368    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
369    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
370    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
371    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
372    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
373    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
374    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
375    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
376    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
377    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
378    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
379    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
380    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
381    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
382    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
383    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
384    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
385    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
386    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
387    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
388    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
389
390    Use of these low level functions has been informally discouraged for
391    a long time. Applications should use the high level EVP APIs, e.g.
392    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
393    equivalently named decrypt functions instead.
394
395    *Matt Caswell and Paul Dale*
396
397  * Removed include/openssl/opensslconf.h.in and replaced it with
398    include/openssl/configuration.h.in, which differs in not including
399    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
400    was added to include both.
401
402    This allows internal hacks where one might need to modify the set
403    of configured macros, for example this if deprecated symbols are
404    still supposed to be available internally:
405
406        #include <openssl/configuration.h>
407
408        #undef OPENSSL_NO_DEPRECATED
409        #define OPENSSL_SUPPRESS_DEPRECATED
410
411        #include <openssl/macros.h>
412
413    This should not be used by applications that use the exported
414    symbols, as that will lead to linking errors.
415
416    *Richard Levitte*
417
418  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
419    used in exponentiation with 512-bit moduli. No EC algorithms are
420    affected. Analysis suggests that attacks against 2-prime RSA1024,
421    3-prime RSA1536, and DSA1024 as a result of this defect would be very
422    difficult to perform and are not believed likely. Attacks against DH512
423    are considered just feasible. However, for an attack the target would
424    have to re-use the DH512 private key, which is not recommended anyway.
425    Also applications directly using the low level API BN_mod_exp may be
426    affected if they use BN_FLG_CONSTTIME.
427    [CVE-2019-1551][]
428
429    *Andy Polyakov*
430
431  * Most memory-debug features have been deprecated, and the functionality
432    replaced with no-ops.
433
434    *Rich Salz*
435
436  * Added documentation for the STACK API. OpenSSL only defines the STACK
437    functions where they are used.
438
439    *Rich Salz*
440
441  * Introduced a new method type and API, OSSL_SERIALIZER, to
442    represent generic serializers.  An implementation is expected to
443    be able to serialize an object associated with a given name (such
444    as an algorithm name for an asymmetric key) into forms given by
445    implementation properties.
446
447    Serializers are primarily used from inside libcrypto, through
448    calls to functions like EVP_PKEY_print_private(),
449    PEM_write_bio_PrivateKey() and similar.
450
451    Serializers are specified in such a way that they can be made to
452    directly handle the provider side portion of an object, if this
453    provider side part comes from the same provider as the serializer
454    itself, but can also be made to handle objects in parametrized
455    form (as an OSSL_PARAM array of data).  This allows a provider to
456    offer generic serializers as a service for any other provider.
457
458    *Richard Levitte*
459
460  * Added a .pragma directive to the syntax of configuration files, to
461    allow varying behavior in a supported and predictable manner.
462    Currently added pragma:
463
464            .pragma dollarid:on
465
466    This allows dollar signs to be a keyword character unless it's
467    followed by a opening brace or parenthesis.  This is useful for
468    platforms where dollar signs are commonly used in names, such as
469    volume names and system directory names on VMS.
470
471    *Richard Levitte*
472
473  * Added functionality to create an EVP_PKEY from user data.  This
474    is effectively the same as creating a RSA, DH or DSA object and
475    then assigning them to an EVP_PKEY, but directly using algorithm
476    agnostic EVP functions.  A benefit is that this should be future
477    proof for public key algorithms to come.
478
479    *Richard Levitte*
480
481  * Change the interpretation of the '--api' configuration option to
482    mean that this is a desired API compatibility level with no
483    further meaning.  The previous interpretation, that this would
484    also mean to remove all deprecated symbols up to and including
485    the given version, no requires that 'no-deprecated' is also used
486    in the configuration.
487
488    When building applications, the desired API compatibility level
489    can be set with the OPENSSL_API_COMPAT macro like before.  For
490    API compatibility version below 3.0, the old style numerical
491    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
492    For version 3.0 and on, the value is expected to be the decimal
493    value calculated from the major and minor version like this:
494
495            MAJOR * 10000 + MINOR * 100
496
497    Examples:
498
499            -DOPENSSL_API_COMPAT=30000             For 3.0
500            -DOPENSSL_API_COMPAT=30200             For 3.2
501
502    To hide declarations that are deprecated up to and including the
503    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
504    given when building the application as well.
505
506    *Richard Levitte*
507
508  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
509    access to certificate and CRL stores via URIs and OSSL_STORE
510    loaders.
511
512    This adds the following functions:
513
514    - X509_LOOKUP_store()
515    - X509_STORE_load_file()
516    - X509_STORE_load_path()
517    - X509_STORE_load_store()
518    - SSL_add_store_cert_subjects_to_stack()
519    - SSL_CTX_set_default_verify_store()
520    - SSL_CTX_load_verify_file()
521    - SSL_CTX_load_verify_dir()
522    - SSL_CTX_load_verify_store()
523
524    Also, the following functions are now deprecated:
525
526    - X509_STORE_load_locations() (use X509_STORE_load_file(),
527      X509_STORE_load_path() or X509_STORE_load_store() instead)
528    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
529      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
530
531    *Richard Levitte*
532
533  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
534    The presence of this system service is determined at run-time.
535
536    *Richard Levitte*
537
538  * Added functionality to create an EVP_PKEY context based on data
539    for methods from providers.  This takes an algorithm name and a
540    property query string and simply stores them, with the intent
541    that any operation that uses this context will use those strings
542    to fetch the needed methods implicitly, thereby making the port
543    of application written for pre-3.0 OpenSSL easier.
544
545    *Richard Levitte*
546
547  * The undocumented function NCONF_WIN32() has been deprecated; for
548    conversion details see the HISTORY section of doc/man5/config.pod
549
550    *Rich Salz*
551
552  * Introduced the new functions EVP_DigestSignInit_ex() and
553    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
554    EVP_DigestVerifyUpdate() have been converted to functions. See the man
555    pages for further details.
556
557    *Matt Caswell*
558
559  * Over two thousand fixes were made to the documentation, including:
560    adding missing command flags, better style conformance, documentation
561    of internals, etc.
562
563    *Rich Salz, Richard Levitte*
564
565  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
566    X25519, X448, Ed25519 and Ed448.
567
568    *Patrick Steuer*
569
570  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
571    the first value.
572
573    *Jon Spillett*
574
575  * Deprecated the public definition of ERR_STATE as well as the function
576    ERR_get_state().  This is done in preparation of making ERR_STATE an
577    opaque type.
578
579    *Richard Levitte*
580
581  * Added ERR functionality to give callers access to the stored function
582    names that have replaced the older function code based functions.
583
584    New functions are ERR_get_error_func(), ERR_peek_error_func(),
585    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
586    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
587    and ERR_peek_last_error_all().
588
589    These functions have become deprecated: ERR_get_error_line_data(),
590    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
591    ERR_func_error_string().
592
593    *Richard Levitte*
594
595  * Extended testing to be verbose for failing tests only.  The make variables
596    VERBOSE_FAILURE or VF can be used to enable this:
597
598            $ make VF=1 test                           # Unix
599            $ mms /macro=(VF=1) test                   ! OpenVMS
600            $ nmake VF=1 test                          # Windows
601
602    *Richard Levitte*
603
604  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
605    used even when parsing explicit parameters, when loading a serialized key
606    or calling `EC_GROUP_new_from_ecpkparameters()`/
607    `EC_GROUP_new_from_ecparameters()`.
608    This prevents bypass of security hardening and performance gains,
609    especially for curves with specialized EC_METHODs.
610    By default, if a key encoded with explicit parameters is loaded and later
611    serialized, the output is still encoded with explicit parameters, even if
612    internally a "named" EC_GROUP is used for computation.
613
614    *Nicola Tuveri*
615
616  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
617    this change, EC_GROUP_set_generator would accept order and/or cofactor as
618    NULL. After this change, only the cofactor parameter can be NULL. It also
619    does some minimal sanity checks on the passed order.
620    [CVE-2019-1547][]
621
622    *Billy Bob Brumley*
623
624  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
625    An attack is simple, if the first CMS_recipientInfo is valid but the
626    second CMS_recipientInfo is chosen ciphertext. If the second
627    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
628    encryption key will be replaced by garbage, and the message cannot be
629    decoded, but if the RSA decryption fails, the correct encryption key is
630    used and the recipient will not notice the attack.
631    As a work around for this potential attack the length of the decrypted
632    key must be equal to the cipher default key length, in case the
633    certifiate is not given and all recipientInfo are tried out.
634    The old behaviour can be re-enabled in the CMS code by setting the
635    CMS_DEBUG_DECRYPT flag.
636
637    *Bernd Edlinger*
638
639  * Early start up entropy quality from the DEVRANDOM seed source has been
640    improved for older Linux systems.  The RAND subsystem will wait for
641    /dev/random to be producing output before seeding from /dev/urandom.
642    The seeded state is stored for future library initialisations using
643    a system global shared memory segment.  The shared memory identifier
644    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
645    the desired value.  The default identifier is 114.
646
647    *Paul Dale*
648
649  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
650    when primes for RSA keys are computed.
651    Since we previously always generated primes == 2 (mod 3) for RSA keys,
652    the 2-prime and 3-prime RSA modules were easy to distinguish, since
653    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
654    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
655    This avoids possible fingerprinting of newly generated RSA modules.
656
657    *Bernd Edlinger*
658
659  * Correct the extended master secret constant on EBCDIC systems. Without this
660    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
661    negotiate EMS will fail. Unfortunately this also means that TLS connections
662    between EBCDIC systems with this fix, and EBCDIC systems without this
663    fix will fail if they negotiate EMS.
664
665    *Matt Caswell*
666
667  * Changed the library initialisation so that the config file is now loaded
668    by default. This was already the case for libssl. It now occurs for both
669    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
670    OPENSSL_init_crypto() to suppress automatic loading of a config file.
671
672    *Matt Caswell*
673
674  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
675    where the former acts as a replacement for ERR_put_error(), and the
676    latter replaces the combination ERR_put_error()+ERR_add_error_data().
677    ERR_raise_data() adds more flexibility by taking a format string and
678    an arbitrary number of arguments following it, to be processed with
679    BIO_snprintf().
680
681    *Richard Levitte*
682
683  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
684    to check if a named provider is loaded and available.  When called, it
685    will also activate all fallback providers if such are still present.
686
687    *Richard Levitte*
688
689  * Enforce a minimum DH modulus size of 512 bits.
690
691    *Bernd Edlinger*
692
693  * Changed DH parameters to generate the order q subgroup instead of 2q.
694    Previously generated DH parameters are still accepted by DH_check
695    but DH_generate_key works around that by clearing bit 0 of the
696    private key for those. This avoids leaking bit 0 of the private key.
697
698    *Bernd Edlinger*
699
700  * Significantly reduce secure memory usage by the randomness pools.
701
702    *Paul Dale*
703
704  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
705    deprecated.
706
707    *Rich Salz*
708
709  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
710    algorithms. An implementation of a key exchange algorithm can be obtained
711    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
712    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
713    the older EVP_PKEY_derive_init() function. See the man pages for the new
714    functions for further details.
715
716    *Matt Caswell*
717
718  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
719
720    *Matt Caswell*
721
722  * Removed the function names from error messages and deprecated the
723    xxx_F_xxx define's.
724
725  * Removed NextStep support and the macro OPENSSL_UNISTD
726
727    *Rich Salz*
728
729  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
730    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
731    Also removed "export var as function" capability; we do not export
732    variables, only functions.
733
734    *Rich Salz*
735
736  * RC5_32_set_key has been changed to return an int type, with 0 indicating
737    an error and 1 indicating success. In previous versions of OpenSSL this
738    was a void type. If a key was set longer than the maximum possible this
739    would crash.
740
741    *Matt Caswell*
742
743  * Support SM2 signing and verification schemes with X509 certificate.
744
745    *Paul Yang*
746
747  * Use SHA256 as the default digest for TS query in the ts app.
748
749    *Tomas Mraz*
750
751  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
752    This checks that the salt length is at least 128 bits, the derived key
753    length is at least 112 bits, and that the iteration count is at least 1000.
754    For backwards compatibility these checks are disabled by default in the
755    default provider, but are enabled by default in the fips provider.
756    To enable or disable these checks use the control
757    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
758
759    *Shane Lontis*
760
761  * Default cipher lists/suites are now available via a function, the
762    #defines are deprecated.
763
764    *Todd Short*
765
766  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
767    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
768    for Windows Store apps easier. Also, the "no-uplink" option has been added.
769
770    *Kenji Mouri*
771
772  * Join the directories crypto/x509 and crypto/x509v3
773
774    *Richard Levitte*
775
776  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
777    This changes the size when using the genpkey app when no size is given. It
778    fixes an omission in earlier changes that changed all RSA, DSA and DH
779    generation apps to use 2048 bits by default.
780
781    *Kurt Roeckx*
782
783  * Added command 'openssl kdf' that uses the EVP_KDF API.
784
785    *Shane Lontis*
786
787  * Added command 'openssl mac' that uses the EVP_MAC API.
788
789    *Shane Lontis*
790
791  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
792    as default directories.  Also added the command 'openssl info'
793    for scripting purposes.
794
795    *Richard Levitte*
796
797  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
798    deprecated. These undocumented functions were never integrated into the EVP
799    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
800    Bi-directional IGE mode. These modes were never formally standardised and
801    usage of these functions is believed to be very small. In particular
802    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
803    is ever used. The security implications are believed to be minimal, but
804    this issue was never fixed for backwards compatibility reasons. New code
805    should not use these modes.
806
807    *Matt Caswell*
808
809  * Add prediction resistance to the DRBG reseeding process.
810
811    *Paul Dale*
812
813  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
814    mandated by IEEE Std 1619-2018.
815
816    *Paul Dale*
817
818  * Added newline escaping functionality to a filename when using openssl dgst.
819    This output format is to replicate the output format found in the `*sum`
820    checksum programs. This aims to preserve backward compatibility.
821
822    *Matt Eaton, Richard Levitte, and Paul Dale*
823
824  * Removed the heartbeat message in DTLS feature, as it has very
825    little usage and doesn't seem to fulfill a valuable purpose.
826    The configuration option is now deprecated.
827
828    *Richard Levitte*
829
830  * Changed the output of 'openssl {digestname} < file' to display the
831    digest name in its output.
832
833    *Richard Levitte*
834
835  * Added a new generic trace API which provides support for enabling
836    instrumentation through trace output. This feature is mainly intended
837    as an aid for developers and is disabled by default. To utilize it,
838    OpenSSL needs to be configured with the `enable-trace` option.
839
840    If the tracing API is enabled, the application can activate trace output
841    by registering BIOs as trace channels for a number of tracing and debugging
842    categories.
843
844    The 'openssl' application has been expanded to enable any of the types
845    available via environment variables defined by the user, and serves as
846    one possible example on how to use this functionality.
847
848    *Richard Levitte & Matthias St. Pierre*
849
850  * Added build tests for C++.  These are generated files that only do one
851    thing, to include one public OpenSSL head file each.  This tests that
852    the public header files can be usefully included in a C++ application.
853
854    This test isn't enabled by default.  It can be enabled with the option
855    'enable-buildtest-c++'.
856
857    *Richard Levitte*
858
859  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
860
861    *Shane Lontis*
862
863  * Add KMAC to EVP_MAC.
864
865    *Shane Lontis*
866
867  * Added property based algorithm implementation selection framework to
868    the core.
869
870    *Paul Dale*
871
872  * Added SCA hardening for modular field inversion in EC_GROUP through
873    a new dedicated field_inv() pointer in EC_METHOD.
874    This also addresses a leakage affecting conversions from projective
875    to affine coordinates.
876
877    *Billy Bob Brumley, Nicola Tuveri*
878
879  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
880    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
881    those algorithms that were already supported through the EVP_PKEY API
882    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
883    and scrypt are now wrappers that call EVP_KDF.
884
885    *David Makepeace*
886
887  * Build devcrypto engine as a dynamic engine.
888
889    *Eneas U de Queiroz*
890
891  * Add keyed BLAKE2 to EVP_MAC.
892
893    *Antoine Salon*
894
895  * Fix a bug in the computation of the endpoint-pair shared secret used
896    by DTLS over SCTP. This breaks interoperability with older versions
897    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
898    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
899    interoperability with such broken implementations. However, enabling
900    this switch breaks interoperability with correct implementations.
901
902  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
903    re-used X509_PUBKEY object if the second PUBKEY is malformed.
904
905    *Bernd Edlinger*
906
907  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
908
909    *Richard Levitte*
910
911  * Change the license to the Apache License v2.0.
912
913    *Richard Levitte*
914
915  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
916
917    - Major releases (indicated by incrementing the MAJOR release number)
918      may introduce incompatible API/ABI changes.
919    - Minor releases (indicated by incrementing the MINOR release number)
920      may introduce new features but retain API/ABI compatibility.
921    - Patch releases (indicated by incrementing the PATCH number)
922      are intended for bug fixes and other improvements of existing
923      features only (like improving performance or adding documentation)
924      and retain API/ABI compatibility.
925
926    *Richard Levitte*
927
928  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
929
930    *Todd Short*
931
932  * Remove the 'dist' target and add a tarball building script.  The
933    'dist' target has fallen out of use, and it shouldn't be
934    necessary to configure just to create a source distribution.
935
936    *Richard Levitte*
937
938  * Recreate the OS390-Unix config target.  It no longer relies on a
939    special script like it did for OpenSSL pre-1.1.0.
940
941    *Richard Levitte*
942
943  * Instead of having the source directories listed in Configure, add
944    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
945    look into.
946
947    *Richard Levitte*
948
949  * Add GMAC to EVP_MAC.
950
951    *Paul Dale*
952
953  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
954
955    *Richard Levitte*
956
957  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
958    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
959    to facilitate the continued use of MACs through raw private keys in
960    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
961
962    *Richard Levitte*
963
964  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
965    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
966
967    *Antoine Salon*
968
969  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
970    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
971    are retained for backwards compatibility.
972
973    *Antoine Salon*
974
975  * AES-XTS mode now enforces that its two keys are different to mitigate
976    the attacked described in "Efficient Instantiations of Tweakable
977    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
978    Details of this attack can be obtained from:
979    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
980
981    *Paul Dale*
982
983  * Rename the object files, i.e. give them other names than in previous
984    versions.  Their names now include the name of the final product, as
985    well as its type mnemonic (bin, lib, shlib).
986
987    *Richard Levitte*
988
989  * Added new option for 'openssl list', '-objects', which will display the
990    list of built in objects, i.e. OIDs with names.
991
992    *Richard Levitte*
993
994  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
995    improves application performance by removing data copies and providing
996    applications with zero-copy system calls such as sendfile and splice.
997
998    *Boris Pismenny*
999
1000 OpenSSL 1.1.1
1001 -------------
1002
1003 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1004
1005 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1006
1007  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1008    while reading in libssl then we would report an error back to the
1009    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1010    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1011    therefore give a hint as to what went wrong.
1012
1013    *Matt Caswell*
1014
1015  * Check that ed25519 and ed448 are allowed by the security level. Previously
1016    signature algorithms not using an MD were not being checked that they were
1017    allowed by the security level.
1018
1019    *Kurt Roeckx*
1020
1021  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1022    was not quite right. The behaviour was not consistent between resumption
1023    and normal handshakes, and also not quite consistent with historical
1024    behaviour. The behaviour in various scenarios has been clarified and
1025    it has been updated to make it match historical behaviour as closely as
1026    possible.
1027
1028    *Matt Caswell*
1029
1030  * *[VMS only]* The header files that the VMS compilers include automatically,
1031    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1032    that the C++ compiler doesn't understand.  This is a shortcoming in the
1033    compiler, but can be worked around with `__cplusplus` guards.
1034
1035    C++ applications that use OpenSSL libraries must be compiled using the
1036    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1037    functions.  Otherwise, only functions with symbols of less than 31
1038    characters can be used, as the linker will not be able to successfully
1039    resolve symbols with longer names.
1040
1041    *Richard Levitte*
1042
1043  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1044    The presence of this system service is determined at run-time.
1045
1046    *Richard Levitte*
1047
1048  * Added newline escaping functionality to a filename when using openssl dgst.
1049    This output format is to replicate the output format found in the `*sum`
1050    checksum programs. This aims to preserve backward compatibility.
1051
1052    *Matt Eaton, Richard Levitte, and Paul Dale*
1053
1054  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1055    the first value.
1056
1057    *Jon Spillett*
1058
1059 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1060
1061  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1062    number generator (RNG). This was intended to include protection in the
1063    event of a fork() system call in order to ensure that the parent and child
1064    processes did not share the same RNG state. However this protection was not
1065    being used in the default case.
1066
1067    A partial mitigation for this issue is that the output from a high
1068    precision timer is mixed into the RNG state so the likelihood of a parent
1069    and child process sharing state is significantly reduced.
1070
1071    If an application already calls OPENSSL_init_crypto() explicitly using
1072    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1073    [CVE-2019-1549][]
1074
1075    *Matthias St. Pierre*
1076
1077  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1078    used even when parsing explicit parameters, when loading a serialized key
1079    or calling `EC_GROUP_new_from_ecpkparameters()`/
1080    `EC_GROUP_new_from_ecparameters()`.
1081    This prevents bypass of security hardening and performance gains,
1082    especially for curves with specialized EC_METHODs.
1083    By default, if a key encoded with explicit parameters is loaded and later
1084    serialized, the output is still encoded with explicit parameters, even if
1085    internally a "named" EC_GROUP is used for computation.
1086
1087    *Nicola Tuveri*
1088
1089  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1090    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1091    NULL. After this change, only the cofactor parameter can be NULL. It also
1092    does some minimal sanity checks on the passed order.
1093    [CVE-2019-1547][]
1094
1095    *Billy Bob Brumley*
1096
1097  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1098    An attack is simple, if the first CMS_recipientInfo is valid but the
1099    second CMS_recipientInfo is chosen ciphertext. If the second
1100    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1101    encryption key will be replaced by garbage, and the message cannot be
1102    decoded, but if the RSA decryption fails, the correct encryption key is
1103    used and the recipient will not notice the attack.
1104    As a work around for this potential attack the length of the decrypted
1105    key must be equal to the cipher default key length, in case the
1106    certifiate is not given and all recipientInfo are tried out.
1107    The old behaviour can be re-enabled in the CMS code by setting the
1108    CMS_DEBUG_DECRYPT flag.
1109    [CVE-2019-1563][]
1110
1111    *Bernd Edlinger*
1112
1113  * Early start up entropy quality from the DEVRANDOM seed source has been
1114    improved for older Linux systems.  The RAND subsystem will wait for
1115    /dev/random to be producing output before seeding from /dev/urandom.
1116    The seeded state is stored for future library initialisations using
1117    a system global shared memory segment.  The shared memory identifier
1118    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1119    the desired value.  The default identifier is 114.
1120
1121    *Paul Dale*
1122
1123  * Correct the extended master secret constant on EBCDIC systems. Without this
1124    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1125    negotiate EMS will fail. Unfortunately this also means that TLS connections
1126    between EBCDIC systems with this fix, and EBCDIC systems without this
1127    fix will fail if they negotiate EMS.
1128
1129    *Matt Caswell*
1130
1131  * Use Windows installation paths in the mingw builds
1132
1133    Mingw isn't a POSIX environment per se, which means that Windows
1134    paths should be used for installation.
1135    [CVE-2019-1552][]
1136
1137    *Richard Levitte*
1138
1139  * Changed DH_check to accept parameters with order q and 2q subgroups.
1140    With order 2q subgroups the bit 0 of the private key is not secret
1141    but DH_generate_key works around that by clearing bit 0 of the
1142    private key for those. This avoids leaking bit 0 of the private key.
1143
1144    *Bernd Edlinger*
1145
1146  * Significantly reduce secure memory usage by the randomness pools.
1147
1148    *Paul Dale*
1149
1150  * Revert the DEVRANDOM_WAIT feature for Linux systems
1151
1152    The DEVRANDOM_WAIT feature added a select() call to wait for the
1153    /dev/random device to become readable before reading from the
1154    /dev/urandom device.
1155
1156    It turned out that this change had negative side effects on
1157    performance which were not acceptable. After some discussion it
1158    was decided to revert this feature and leave it up to the OS
1159    resp. the platform maintainer to ensure a proper initialization
1160    during early boot time.
1161
1162    *Matthias St. Pierre*
1163
1164 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1165
1166  * Add build tests for C++.  These are generated files that only do one
1167    thing, to include one public OpenSSL head file each.  This tests that
1168    the public header files can be usefully included in a C++ application.
1169
1170    This test isn't enabled by default.  It can be enabled with the option
1171    'enable-buildtest-c++'.
1172
1173    *Richard Levitte*
1174
1175  * Enable SHA3 pre-hashing for ECDSA and DSA.
1176
1177    *Patrick Steuer*
1178
1179  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1180    This changes the size when using the genpkey app when no size is given. It
1181    fixes an omission in earlier changes that changed all RSA, DSA and DH
1182    generation apps to use 2048 bits by default.
1183
1184    *Kurt Roeckx*
1185
1186  * Reorganize the manual pages to consistently have RETURN VALUES,
1187    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1188    util/fix-doc-nits accordingly.
1189
1190    *Paul Yang, Joshua Lock*
1191
1192  * Add the missing accessor EVP_PKEY_get0_engine()
1193
1194    *Matt Caswell*
1195
1196  * Have apps like 's_client' and 's_server' output the signature scheme
1197    along with other cipher suite parameters when debugging.
1198
1199    *Lorinczy Zsigmond*
1200
1201  * Make OPENSSL_config() error agnostic again.
1202
1203    *Richard Levitte*
1204
1205  * Do the error handling in RSA decryption constant time.
1206
1207    *Bernd Edlinger*
1208
1209  * Prevent over long nonces in ChaCha20-Poly1305.
1210
1211    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1212    for every encryption operation. RFC 7539 specifies that the nonce value
1213    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1214    and front pads the nonce with 0 bytes if it is less than 12
1215    bytes. However it also incorrectly allows a nonce to be set of up to 16
1216    bytes. In this case only the last 12 bytes are significant and any
1217    additional leading bytes are ignored.
1218
1219    It is a requirement of using this cipher that nonce values are
1220    unique. Messages encrypted using a reused nonce value are susceptible to
1221    serious confidentiality and integrity attacks. If an application changes
1222    the default nonce length to be longer than 12 bytes and then makes a
1223    change to the leading bytes of the nonce expecting the new value to be a
1224    new unique nonce then such an application could inadvertently encrypt
1225    messages with a reused nonce.
1226
1227    Additionally the ignored bytes in a long nonce are not covered by the
1228    integrity guarantee of this cipher. Any application that relies on the
1229    integrity of these ignored leading bytes of a long nonce may be further
1230    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1231    is safe because no such use sets such a long nonce value. However user
1232    applications that use this cipher directly and set a non-default nonce
1233    length to be longer than 12 bytes may be vulnerable.
1234
1235    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1236    Greef of Ronomon.
1237    [CVE-2019-1543][]
1238
1239    *Matt Caswell*
1240
1241  * Add DEVRANDOM_WAIT feature for Linux systems
1242
1243    On older Linux systems where the getrandom() system call is not available,
1244    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1245    Contrary to getrandom(), the /dev/urandom device will not block during
1246    early boot when the kernel CSPRNG has not been seeded yet.
1247
1248    To mitigate this known weakness, use select() to wait for /dev/random to
1249    become readable before reading from /dev/urandom.
1250
1251  * Ensure that SM2 only uses SM3 as digest algorithm
1252
1253    *Paul Yang*
1254
1255 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1256
1257  * Change the info callback signals for the start and end of a post-handshake
1258    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1259    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1260    confused by this and assume that a TLSv1.2 renegotiation has started. This
1261    can break KeyUpdate handling. Instead we no longer signal the start and end
1262    of a post handshake message exchange (although the messages themselves are
1263    still signalled). This could break some applications that were expecting
1264    the old signals. However without this KeyUpdate is not usable for many
1265    applications.
1266
1267    *Matt Caswell*
1268
1269 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1270
1271  * Timing vulnerability in DSA signature generation
1272
1273    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1274    timing side channel attack. An attacker could use variations in the signing
1275    algorithm to recover the private key.
1276
1277    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1278    [CVE-2018-0734][]
1279
1280    *Paul Dale*
1281
1282  * Timing vulnerability in ECDSA signature generation
1283
1284    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1285    timing side channel attack. An attacker could use variations in the signing
1286    algorithm to recover the private key.
1287
1288    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1289    [CVE-2018-0735][]
1290
1291    *Paul Dale*
1292
1293  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1294    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1295    of two gigabytes and the error handling improved.
1296
1297    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1298    categorized as a normal bug, not a security issue, because the DRBG reseeds
1299    automatically and is fully functional even without additional randomness
1300    provided by the application.
1301
1302 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1303
1304  * Add a new ClientHello callback. Provides a callback interface that gives
1305    the application the ability to adjust the nascent SSL object at the
1306    earliest stage of ClientHello processing, immediately after extensions have
1307    been collected but before they have been processed. In particular, this
1308    callback can adjust the supported TLS versions in response to the contents
1309    of the ClientHello
1310
1311    *Benjamin Kaduk*
1312
1313  * Add SM2 base algorithm support.
1314
1315    *Jack Lloyd*
1316
1317  * s390x assembly pack: add (improved) hardware-support for the following
1318    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1319    aes-cfb/cfb8, aes-ecb.
1320
1321    *Patrick Steuer*
1322
1323  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1324    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1325    pem_str is reserved for alias entries only.
1326
1327    *Richard Levitte*
1328
1329  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1330    step for prime curves. The new implementation is based on formulae from
1331    differential addition-and-doubling in homogeneous projective coordinates
1332    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1333    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1334    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1335    to work in projective coordinates.
1336
1337    *Billy Bob Brumley, Nicola Tuveri*
1338
1339  * Change generating and checking of primes so that the error rate of not
1340    being prime depends on the intended use based on the size of the input.
1341    For larger primes this will result in more rounds of Miller-Rabin.
1342    The maximal error rate for primes with more than 1080 bits is lowered
1343    to 2^-128.
1344
1345    *Kurt Roeckx, Annie Yousar*
1346
1347  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1348
1349    *Kurt Roeckx*
1350
1351  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1352    moving between systems, and to avoid confusion when a Windows build is
1353    done with mingw vs with MSVC.  For POSIX installs, there's still a
1354    symlink or copy named 'tsget' to avoid that confusion as well.
1355
1356    *Richard Levitte*
1357
1358  * Revert blinding in ECDSA sign and instead make problematic addition
1359    length-invariant. Switch even to fixed-length Montgomery multiplication.
1360
1361    *Andy Polyakov*
1362
1363  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1364    step for binary curves. The new implementation is based on formulae from
1365    differential addition-and-doubling in mixed Lopez-Dahab projective
1366    coordinates, modified to independently blind the operands.
1367
1368    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1369
1370  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1371    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1372    EC_METHODs to implement their own specialized "ladder step", to take
1373    advantage of more favorable coordinate systems or more efficient
1374    differential addition-and-doubling algorithms.
1375
1376    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1377
1378  * Modified the random device based seed sources to keep the relevant
1379    file descriptors open rather than reopening them on each access.
1380    This allows such sources to operate in a chroot() jail without
1381    the associated device nodes being available. This behaviour can be
1382    controlled using RAND_keep_random_devices_open().
1383
1384    *Paul Dale*
1385
1386  * Numerous side-channel attack mitigations have been applied. This may have
1387    performance impacts for some algorithms for the benefit of improved
1388    security. Specific changes are noted in this change log by their respective
1389    authors.
1390
1391    *Matt Caswell*
1392
1393  * AIX shared library support overhaul. Switch to AIX "natural" way of
1394    handling shared libraries, which means collecting shared objects of
1395    different versions and bitnesses in one common archive. This allows to
1396    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1397    doesn't affect the way 3rd party applications are linked, only how
1398    multi-version installation is managed.
1399
1400    *Andy Polyakov*
1401
1402  * Make ec_group_do_inverse_ord() more robust and available to other
1403    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1404    mitigations are applied to the fallback BN_mod_inverse().
1405    When using this function rather than BN_mod_inverse() directly, new
1406    EC cryptosystem implementations are then safer-by-default.
1407
1408    *Billy Bob Brumley*
1409
1410  * Add coordinate blinding for EC_POINT and implement projective
1411    coordinate blinding for generic prime curves as a countermeasure to
1412    chosen point SCA attacks.
1413
1414    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1415
1416  * Add blinding to ECDSA and DSA signatures to protect against side channel
1417    attacks discovered by Keegan Ryan (NCC Group).
1418
1419    *Matt Caswell*
1420
1421  * Enforce checking in the pkeyutl command line app to ensure that the input
1422    length does not exceed the maximum supported digest length when performing
1423    a sign, verify or verifyrecover operation.
1424
1425    *Matt Caswell*
1426
1427  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1428    I/O in combination with something like select() or poll() will hang. This
1429    can be turned off again using SSL_CTX_clear_mode().
1430    Many applications do not properly handle non-application data records, and
1431    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1432    around the problems in those applications, but can also break some.
1433    It's recommended to read the manpages about SSL_read(), SSL_write(),
1434    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1435    SSL_CTX_set_read_ahead() again.
1436
1437    *Kurt Roeckx*
1438
1439  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1440    now allow empty (zero character) pass phrases.
1441
1442    *Richard Levitte*
1443
1444  * Apply blinding to binary field modular inversion and remove patent
1445    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1446
1447    *Billy Bob Brumley*
1448
1449  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1450    binary and prime elliptic curves.
1451
1452    *Billy Bob Brumley*
1453
1454  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1455    constant time fixed point multiplication.
1456
1457    *Billy Bob Brumley*
1458
1459  * Revise elliptic curve scalar multiplication with timing attack
1460    defenses: ec_wNAF_mul redirects to a constant time implementation
1461    when computing fixed point and variable point multiplication (which
1462    in OpenSSL are mostly used with secret scalars in keygen, sign,
1463    ECDH derive operations).
1464    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1465     Sohaib ul Hassan*
1466
1467  * Updated CONTRIBUTING
1468
1469    *Rich Salz*
1470
1471  * Updated DRBG / RAND to request nonce and additional low entropy
1472    randomness from the system.
1473
1474    *Matthias St. Pierre*
1475
1476  * Updated 'openssl rehash' to use OpenSSL consistent default.
1477
1478    *Richard Levitte*
1479
1480  * Moved the load of the ssl_conf module to libcrypto, which helps
1481    loading engines that libssl uses before libssl is initialised.
1482
1483    *Matt Caswell*
1484
1485  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1486
1487    *Matt Caswell*
1488
1489  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1490
1491    *Ingo Schwarze, Rich Salz*
1492
1493  * Added output of accepting IP address and port for 'openssl s_server'
1494
1495    *Richard Levitte*
1496
1497  * Added a new API for TLSv1.3 ciphersuites:
1498       SSL_CTX_set_ciphersuites()
1499       SSL_set_ciphersuites()
1500
1501    *Matt Caswell*
1502
1503  * Memory allocation failures consistently add an error to the error
1504    stack.
1505
1506    *Rich Salz*
1507
1508  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1509    in libcrypto when run as setuid/setgid.
1510
1511    *Bernd Edlinger*
1512
1513  * Load any config file by default when libssl is used.
1514
1515    *Matt Caswell*
1516
1517  * Added new public header file <openssl/rand_drbg.h> and documentation
1518    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1519
1520    *Matthias St. Pierre*
1521
1522  * QNX support removed (cannot find contributors to get their approval
1523    for the license change).
1524
1525    *Rich Salz*
1526
1527  * TLSv1.3 replay protection for early data has been implemented. See the
1528    SSL_read_early_data() man page for further details.
1529
1530    *Matt Caswell*
1531
1532  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1533    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1534    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1535    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1536    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1537    configuration has been separated out. See the ciphers man page or the
1538    SSL_CTX_set_ciphersuites() man page for more information.
1539
1540    *Matt Caswell*
1541
1542  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1543    in responder mode now supports the new "-multi" option, which
1544    spawns the specified number of child processes to handle OCSP
1545    requests.  The "-timeout" option now also limits the OCSP
1546    responder's patience to wait to receive the full client request
1547    on a newly accepted connection. Child processes are respawned
1548    as needed, and the CA index file is automatically reloaded
1549    when changed.  This makes it possible to run the "ocsp" responder
1550    as a long-running service, making the OpenSSL CA somewhat more
1551    feature-complete.  In this mode, most diagnostic messages logged
1552    after entering the event loop are logged via syslog(3) rather than
1553    written to stderr.
1554
1555    *Viktor Dukhovni*
1556
1557  * Added support for X448 and Ed448. Heavily based on original work by
1558    Mike Hamburg.
1559
1560    *Matt Caswell*
1561
1562  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1563    objects loaded.  This adds the functions OSSL_STORE_expect() and
1564    OSSL_STORE_find() as well as needed tools to construct searches and
1565    get the search data out of them.
1566
1567    *Richard Levitte*
1568
1569  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1570    version of OpenSSL should review their configuration settings to ensure
1571    that they are still appropriate for TLSv1.3. For further information see:
1572    <https://wiki.openssl.org/index.php/TLS1.3>
1573
1574    *Matt Caswell*
1575
1576  * Grand redesign of the OpenSSL random generator
1577
1578    The default RAND method now utilizes an AES-CTR DRBG according to
1579    NIST standard SP 800-90Ar1. The new random generator is essentially
1580    a port of the default random generator from the OpenSSL FIPS 2.0
1581    object module. It is a hybrid deterministic random bit generator
1582    using an AES-CTR bit stream and which seeds and reseeds itself
1583    automatically using trusted system entropy sources.
1584
1585    Some of its new features are:
1586     - Support for multiple DRBG instances with seed chaining.
1587     - The default RAND method makes use of a DRBG.
1588     - There is a public and private DRBG instance.
1589     - The DRBG instances are fork-safe.
1590     - Keep all global DRBG instances on the secure heap if it is enabled.
1591     - The public and private DRBG instance are per thread for lock free
1592       operation
1593
1594    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1595
1596  * Changed Configure so it only says what it does and doesn't dump
1597    so much data.  Instead, ./configdata.pm should be used as a script
1598    to display all sorts of configuration data.
1599
1600    *Richard Levitte*
1601
1602  * Added processing of "make variables" to Configure.
1603
1604    *Richard Levitte*
1605
1606  * Added SHA512/224 and SHA512/256 algorithm support.
1607
1608    *Paul Dale*
1609
1610  * The last traces of Netware support, first removed in 1.1.0, have
1611    now been removed.
1612
1613    *Rich Salz*
1614
1615  * Get rid of Makefile.shared, and in the process, make the processing
1616    of certain files (rc.obj, or the .def/.map/.opt files produced from
1617    the ordinal files) more visible and hopefully easier to trace and
1618    debug (or make silent).
1619
1620    *Richard Levitte*
1621
1622  * Make it possible to have environment variable assignments as
1623    arguments to config / Configure.
1624
1625    *Richard Levitte*
1626
1627  * Add multi-prime RSA (RFC 8017) support.
1628
1629    *Paul Yang*
1630
1631  * Add SM3 implemented according to GB/T 32905-2016
1632    * Jack Lloyd <jack.lloyd@ribose.com>,
1633      Ronald Tse <ronald.tse@ribose.com>,
1634      Erick Borsboom <erick.borsboom@ribose.com> *
1635
1636  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1637    as documented in RFC6066.
1638    Based on a patch from Tomasz Moń
1639
1640    *Filipe Raimundo da Silva*
1641
1642  * Add SM4 implemented according to GB/T 32907-2016.
1643    * Jack Lloyd <jack.lloyd@ribose.com>,
1644      Ronald Tse <ronald.tse@ribose.com>,
1645      Erick Borsboom <erick.borsboom@ribose.com> *
1646
1647  * Reimplement -newreq-nodes and ERR_error_string_n; the
1648    original author does not agree with the license change.
1649
1650    *Rich Salz*
1651
1652  * Add ARIA AEAD TLS support.
1653
1654    *Jon Spillett*
1655
1656  * Some macro definitions to support VS6 have been removed.  Visual
1657    Studio 6 has not worked since 1.1.0
1658
1659    *Rich Salz*
1660
1661  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1662    without clearing the errors.
1663
1664    *Richard Levitte*
1665
1666  * Add "atfork" functions.  If building on a system that without
1667    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1668    requirements.  The RAND facility now uses/requires this.
1669
1670    *Rich Salz*
1671
1672  * Add SHA3.
1673
1674    *Andy Polyakov*
1675
1676  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1677    not possible to disable entirely.  However, it's still possible to
1678    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1679    as a fallback).
1680
1681    To disable, configure with 'no-ui-console'.  'no-ui' is still
1682    possible to use as an alias.  Check at compile time with the
1683    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1684    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1685
1686    *Richard Levitte*
1687
1688  * Add a STORE module, which implements a uniform and URI based reader of
1689    stores that can contain keys, certificates, CRLs and numerous other
1690    objects.  The main API is loosely based on a few stdio functions,
1691    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1692    OSSL_STORE_error and OSSL_STORE_close.
1693    The implementation uses backends called "loaders" to implement arbitrary
1694    URI schemes.  There is one built in "loader" for the 'file' scheme.
1695
1696    *Richard Levitte*
1697
1698  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1699    then adjusted to work on FreeBSD 8.4 as well.
1700    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1701    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1702
1703    *Richard Levitte*
1704
1705  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1706    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1707    error code calls like this:
1708
1709            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1710
1711    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1712    that can be encoded in C.  For the foreseeable future, this will only
1713    affect new modules.
1714
1715    *Richard Levitte and Tim Hudson*
1716
1717  * Removed BSD cryptodev engine.
1718
1719    *Rich Salz*
1720
1721  * Add a build target 'build_all_generated', to build all generated files
1722    and only that.  This can be used to prepare everything that requires
1723    things like perl for a system that lacks perl and then move everything
1724    to that system and do the rest of the build there.
1725
1726    *Richard Levitte*
1727
1728  * In the UI interface, make it possible to duplicate the user data.  This
1729    can be used by engines that need to retain the data for a longer time
1730    than just the call where this user data is passed.
1731
1732    *Richard Levitte*
1733
1734  * Ignore the '-named_curve auto' value for compatibility of applications
1735    with OpenSSL 1.0.2.
1736
1737    *Tomas Mraz <tmraz@fedoraproject.org>*
1738
1739  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1740    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1741    alerts across multiple records (some of which could be empty). In practice
1742    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1743    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1744    support this at all. Supporting it adds significant complexity to the
1745    record layer, and its removal is unlikely to cause interoperability
1746    issues.
1747
1748    *Matt Caswell*
1749
1750  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1751    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1752    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1753    in OpenSSL 1.2.0.
1754
1755    *Richard Levitte*
1756
1757  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1758    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1759
1760    *Richard Levitte, Andy Polyakov*
1761
1762  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1763    does for RSA, etc.
1764
1765    *Richard Levitte*
1766
1767  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1768    platform rather than 'mingw'.
1769
1770    *Richard Levitte*
1771
1772  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1773    success if they are asked to add an object which already exists
1774    in the store. This change cascades to other functions which load
1775    certificates and CRLs.
1776
1777    *Paul Dale*
1778
1779  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1780    facilitate stack unwinding even from assembly subroutines.
1781
1782    *Andy Polyakov*
1783
1784  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1785    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1786
1787    *Richard Levitte*
1788
1789  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1790    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1791    which is the minimum version we support.
1792
1793    *Richard Levitte*
1794
1795  * Certificate time validation (X509_cmp_time) enforces stricter
1796    compliance with RFC 5280. Fractional seconds and timezone offsets
1797    are no longer allowed.
1798
1799    *Emilia Käsper*
1800
1801  * Add support for ARIA
1802
1803    *Paul Dale*
1804
1805  * s_client will now send the Server Name Indication (SNI) extension by
1806    default unless the new "-noservername" option is used. The server name is
1807    based on the host provided to the "-connect" option unless overridden by
1808    using "-servername".
1809
1810    *Matt Caswell*
1811
1812  * Add support for SipHash
1813
1814    *Todd Short*
1815
1816  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1817    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1818    prevent issues where no progress is being made and the peer continually
1819    sends unrecognised record types, using up resources processing them.
1820
1821    *Matt Caswell*
1822
1823  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1824    using the algorithm defined in
1825    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1826
1827    *Richard Levitte*
1828
1829  * Heartbeat support has been removed; the ABI is changed for now.
1830
1831    *Richard Levitte, Rich Salz*
1832
1833  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1834
1835    *Emilia Käsper*
1836
1837  * The RSA "null" method, which was partially supported to avoid patent
1838    issues, has been replaced to always returns NULL.
1839
1840    *Rich Salz*
1841
1842 OpenSSL 1.1.0
1843 -------------
1844
1845 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1846
1847  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1848    used even when parsing explicit parameters, when loading a serialized key
1849    or calling `EC_GROUP_new_from_ecpkparameters()`/
1850    `EC_GROUP_new_from_ecparameters()`.
1851    This prevents bypass of security hardening and performance gains,
1852    especially for curves with specialized EC_METHODs.
1853    By default, if a key encoded with explicit parameters is loaded and later
1854    serialized, the output is still encoded with explicit parameters, even if
1855    internally a "named" EC_GROUP is used for computation.
1856
1857    *Nicola Tuveri*
1858
1859  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1860    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1861    NULL. After this change, only the cofactor parameter can be NULL. It also
1862    does some minimal sanity checks on the passed order.
1863    [CVE-2019-1547][]
1864
1865    *Billy Bob Brumley*
1866
1867  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1868    An attack is simple, if the first CMS_recipientInfo is valid but the
1869    second CMS_recipientInfo is chosen ciphertext. If the second
1870    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1871    encryption key will be replaced by garbage, and the message cannot be
1872    decoded, but if the RSA decryption fails, the correct encryption key is
1873    used and the recipient will not notice the attack.
1874    As a work around for this potential attack the length of the decrypted
1875    key must be equal to the cipher default key length, in case the
1876    certifiate is not given and all recipientInfo are tried out.
1877    The old behaviour can be re-enabled in the CMS code by setting the
1878    CMS_DEBUG_DECRYPT flag.
1879    [CVE-2019-1563][]
1880
1881    *Bernd Edlinger*
1882
1883  * Use Windows installation paths in the mingw builds
1884
1885    Mingw isn't a POSIX environment per se, which means that Windows
1886    paths should be used for installation.
1887    [CVE-2019-1552][]
1888
1889    *Richard Levitte*
1890
1891 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1892
1893  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1894    This changes the size when using the genpkey app when no size is given. It
1895    fixes an omission in earlier changes that changed all RSA, DSA and DH
1896    generation apps to use 2048 bits by default.
1897
1898    *Kurt Roeckx*
1899
1900  * Prevent over long nonces in ChaCha20-Poly1305.
1901
1902    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1903    for every encryption operation. RFC 7539 specifies that the nonce value
1904    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1905    and front pads the nonce with 0 bytes if it is less than 12
1906    bytes. However it also incorrectly allows a nonce to be set of up to 16
1907    bytes. In this case only the last 12 bytes are significant and any
1908    additional leading bytes are ignored.
1909
1910    It is a requirement of using this cipher that nonce values are
1911    unique. Messages encrypted using a reused nonce value are susceptible to
1912    serious confidentiality and integrity attacks. If an application changes
1913    the default nonce length to be longer than 12 bytes and then makes a
1914    change to the leading bytes of the nonce expecting the new value to be a
1915    new unique nonce then such an application could inadvertently encrypt
1916    messages with a reused nonce.
1917
1918    Additionally the ignored bytes in a long nonce are not covered by the
1919    integrity guarantee of this cipher. Any application that relies on the
1920    integrity of these ignored leading bytes of a long nonce may be further
1921    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1922    is safe because no such use sets such a long nonce value. However user
1923    applications that use this cipher directly and set a non-default nonce
1924    length to be longer than 12 bytes may be vulnerable.
1925
1926    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1927    Greef of Ronomon.
1928    [CVE-2019-1543][]
1929
1930    *Matt Caswell*
1931
1932  * Added SCA hardening for modular field inversion in EC_GROUP through
1933    a new dedicated field_inv() pointer in EC_METHOD.
1934    This also addresses a leakage affecting conversions from projective
1935    to affine coordinates.
1936
1937    *Billy Bob Brumley, Nicola Tuveri*
1938
1939  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1940    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1941
1942    *Bernd Edlinger*
1943
1944  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1945
1946    *Richard Levitte*
1947
1948  * Remove the 'dist' target and add a tarball building script.  The
1949    'dist' target has fallen out of use, and it shouldn't be
1950    necessary to configure just to create a source distribution.
1951
1952    *Richard Levitte*
1953
1954 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1955
1956  * Timing vulnerability in DSA signature generation
1957
1958    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1959    timing side channel attack. An attacker could use variations in the signing
1960    algorithm to recover the private key.
1961
1962    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1963    [CVE-2018-0734][]
1964
1965    *Paul Dale*
1966
1967  * Timing vulnerability in ECDSA signature generation
1968
1969    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1970    timing side channel attack. An attacker could use variations in the signing
1971    algorithm to recover the private key.
1972
1973    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1974    [CVE-2018-0735][]
1975
1976    *Paul Dale*
1977
1978  * Add coordinate blinding for EC_POINT and implement projective
1979    coordinate blinding for generic prime curves as a countermeasure to
1980    chosen point SCA attacks.
1981
1982    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1983
1984 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
1985
1986  * Client DoS due to large DH parameter
1987
1988    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1989    malicious server can send a very large prime value to the client. This will
1990    cause the client to spend an unreasonably long period of time generating a
1991    key for this prime resulting in a hang until the client has finished. This
1992    could be exploited in a Denial Of Service attack.
1993
1994    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1995    [CVE-2018-0732][]
1996
1997    *Guido Vranken*
1998
1999  * Cache timing vulnerability in RSA Key Generation
2000
2001    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2002    a cache timing side channel attack. An attacker with sufficient access to
2003    mount cache timing attacks during the RSA key generation process could
2004    recover the private key.
2005
2006    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2007    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2008    [CVE-2018-0737][]
2009
2010    *Billy Brumley*
2011
2012  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2013    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2014    pem_str is reserved for alias entries only.
2015
2016    *Richard Levitte*
2017
2018  * Revert blinding in ECDSA sign and instead make problematic addition
2019    length-invariant. Switch even to fixed-length Montgomery multiplication.
2020
2021    *Andy Polyakov*
2022
2023  * Change generating and checking of primes so that the error rate of not
2024    being prime depends on the intended use based on the size of the input.
2025    For larger primes this will result in more rounds of Miller-Rabin.
2026    The maximal error rate for primes with more than 1080 bits is lowered
2027    to 2^-128.
2028
2029    *Kurt Roeckx, Annie Yousar*
2030
2031  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2032
2033    *Kurt Roeckx*
2034
2035  * Add blinding to ECDSA and DSA signatures to protect against side channel
2036    attacks discovered by Keegan Ryan (NCC Group).
2037
2038    *Matt Caswell*
2039
2040  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2041    now allow empty (zero character) pass phrases.
2042
2043    *Richard Levitte*
2044
2045  * Certificate time validation (X509_cmp_time) enforces stricter
2046    compliance with RFC 5280. Fractional seconds and timezone offsets
2047    are no longer allowed.
2048
2049    *Emilia Käsper*
2050
2051  * Fixed a text canonicalisation bug in CMS
2052
2053    Where a CMS detached signature is used with text content the text goes
2054    through a canonicalisation process first prior to signing or verifying a
2055    signature. This process strips trailing space at the end of lines, converts
2056    line terminators to CRLF and removes additional trailing line terminators
2057    at the end of a file. A bug in the canonicalisation process meant that
2058    some characters, such as form-feed, were incorrectly treated as whitespace
2059    and removed. This is contrary to the specification (RFC5485). This fix
2060    could mean that detached text data signed with an earlier version of
2061    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2062    signed with a fixed OpenSSL may fail to verify with an earlier version of
2063    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2064    and use the "-binary" flag (for the "cms" command line application) or set
2065    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2066
2067    *Matt Caswell*
2068
2069 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2070
2071  * Constructed ASN.1 types with a recursive definition could exceed the stack
2072
2073    Constructed ASN.1 types with a recursive definition (such as can be found
2074    in PKCS7) could eventually exceed the stack given malicious input with
2075    excessive recursion. This could result in a Denial Of Service attack. There
2076    are no such structures used within SSL/TLS that come from untrusted sources
2077    so this is considered safe.
2078
2079    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2080    project.
2081    [CVE-2018-0739][]
2082
2083    *Matt Caswell*
2084
2085  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2086
2087    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2088    effectively reduced to only comparing the least significant bit of each
2089    byte. This allows an attacker to forge messages that would be considered as
2090    authenticated in an amount of tries lower than that guaranteed by the
2091    security claims of the scheme. The module can only be compiled by the
2092    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2093
2094    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2095    (IBM).
2096    [CVE-2018-0733][]
2097
2098    *Andy Polyakov*
2099
2100  * Add a build target 'build_all_generated', to build all generated files
2101    and only that.  This can be used to prepare everything that requires
2102    things like perl for a system that lacks perl and then move everything
2103    to that system and do the rest of the build there.
2104
2105    *Richard Levitte*
2106
2107  * Backport SSL_OP_NO_RENGOTIATION
2108
2109    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2110    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2111    changes this is no longer possible in 1.1.0. Therefore the new
2112    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2113    1.1.0 to provide equivalent functionality.
2114
2115    Note that if an application built against 1.1.0h headers (or above) is run
2116    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2117    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2118
2119    *Matt Caswell*
2120
2121  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2122    exist.
2123
2124    *Rich Salz*
2125
2126  * rsaz_1024_mul_avx2 overflow bug on x86_64
2127
2128    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2129    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2130    Analysis suggests that attacks against RSA and DSA as a result of this
2131    defect would be very difficult to perform and are not believed likely.
2132    Attacks against DH1024 are considered just feasible, because most of the
2133    work necessary to deduce information about a private key may be performed
2134    offline. The amount of resources required for such an attack would be
2135    significant. However, for an attack on TLS to be meaningful, the server
2136    would have to share the DH1024 private key among multiple clients, which is
2137    no longer an option since CVE-2016-0701.
2138
2139    This only affects processors that support the AVX2 but not ADX extensions
2140    like Intel Haswell (4th generation).
2141
2142    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2143    was originally found via the OSS-Fuzz project.
2144    [CVE-2017-3738][]
2145
2146    *Andy Polyakov*
2147
2148 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2149
2150  * bn_sqrx8x_internal carry bug on x86_64
2151
2152    There is a carry propagating bug in the x86_64 Montgomery squaring
2153    procedure. No EC algorithms are affected. Analysis suggests that attacks
2154    against RSA and DSA as a result of this defect would be very difficult to
2155    perform and are not believed likely. Attacks against DH are considered just
2156    feasible (although very difficult) because most of the work necessary to
2157    deduce information about a private key may be performed offline. The amount
2158    of resources required for such an attack would be very significant and
2159    likely only accessible to a limited number of attackers. An attacker would
2160    additionally need online access to an unpatched system using the target
2161    private key in a scenario with persistent DH parameters and a private
2162    key that is shared between multiple clients.
2163
2164    This only affects processors that support the BMI1, BMI2 and ADX extensions
2165    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2166
2167    This issue was reported to OpenSSL by the OSS-Fuzz project.
2168    [CVE-2017-3736][]
2169
2170    *Andy Polyakov*
2171
2172  * Malformed X.509 IPAddressFamily could cause OOB read
2173
2174    If an X.509 certificate has a malformed IPAddressFamily extension,
2175    OpenSSL could do a one-byte buffer overread. The most likely result
2176    would be an erroneous display of the certificate in text format.
2177
2178    This issue was reported to OpenSSL by the OSS-Fuzz project.
2179    [CVE-2017-3735][]
2180
2181    *Rich Salz*
2182
2183 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2184
2185  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2186    platform rather than 'mingw'.
2187
2188    *Richard Levitte*
2189
2190  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2191    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2192    which is the minimum version we support.
2193
2194    *Richard Levitte*
2195
2196 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2197
2198  * Encrypt-Then-Mac renegotiation crash
2199
2200    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2201    negotiated where it was not in the original handshake (or vice-versa) then
2202    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2203    and servers are affected.
2204
2205    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2206    [CVE-2017-3733][]
2207
2208    *Matt Caswell*
2209
2210 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2211
2212  * Truncated packet could crash via OOB read
2213
2214    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2215    cipher is being used, then a truncated packet can cause that host to
2216    perform an out-of-bounds read, usually resulting in a crash.
2217
2218    This issue was reported to OpenSSL by Robert Święcki of Google.
2219    [CVE-2017-3731][]
2220
2221    *Andy Polyakov*
2222
2223  * Bad (EC)DHE parameters cause a client crash
2224
2225    If a malicious server supplies bad parameters for a DHE or ECDHE key
2226    exchange then this can result in the client attempting to dereference a
2227    NULL pointer leading to a client crash. This could be exploited in a Denial
2228    of Service attack.
2229
2230    This issue was reported to OpenSSL by Guido Vranken.
2231    [CVE-2017-3730][]
2232
2233    *Matt Caswell*
2234
2235  * BN_mod_exp may produce incorrect results on x86_64
2236
2237    There is a carry propagating bug in the x86_64 Montgomery squaring
2238    procedure. No EC algorithms are affected. Analysis suggests that attacks
2239    against RSA and DSA as a result of this defect would be very difficult to
2240    perform and are not believed likely. Attacks against DH are considered just
2241    feasible (although very difficult) because most of the work necessary to
2242    deduce information about a private key may be performed offline. The amount
2243    of resources required for such an attack would be very significant and
2244    likely only accessible to a limited number of attackers. An attacker would
2245    additionally need online access to an unpatched system using the target
2246    private key in a scenario with persistent DH parameters and a private
2247    key that is shared between multiple clients. For example this can occur by
2248    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2249    similar to CVE-2015-3193 but must be treated as a separate problem.
2250
2251    This issue was reported to OpenSSL by the OSS-Fuzz project.
2252    [CVE-2017-3732][]
2253
2254    *Andy Polyakov*
2255
2256 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2257
2258  * ChaCha20/Poly1305 heap-buffer-overflow
2259
2260    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2261    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2262    crash. This issue is not considered to be exploitable beyond a DoS.
2263
2264    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2265    [CVE-2016-7054][]
2266
2267    *Richard Levitte*
2268
2269  * CMS Null dereference
2270
2271    Applications parsing invalid CMS structures can crash with a NULL pointer
2272    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2273    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2274    structure callback if an attempt is made to free certain invalid encodings.
2275    Only CHOICE structures using a callback which do not handle NULL value are
2276    affected.
2277
2278    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2279    [CVE-2016-7053][]
2280
2281    *Stephen Henson*
2282
2283  * Montgomery multiplication may produce incorrect results
2284
2285    There is a carry propagating bug in the Broadwell-specific Montgomery
2286    multiplication procedure that handles input lengths divisible by, but
2287    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2288    and DH private keys are impossible. This is because the subroutine in
2289    question is not used in operations with the private key itself and an input
2290    of the attacker's direct choice. Otherwise the bug can manifest itself as
2291    transient authentication and key negotiation failures or reproducible
2292    erroneous outcome of public-key operations with specially crafted input.
2293    Among EC algorithms only Brainpool P-512 curves are affected and one
2294    presumably can attack ECDH key negotiation. Impact was not analyzed in
2295    detail, because pre-requisites for attack are considered unlikely. Namely
2296    multiple clients have to choose the curve in question and the server has to
2297    share the private key among them, neither of which is default behaviour.
2298    Even then only clients that chose the curve will be affected.
2299
2300    This issue was publicly reported as transient failures and was not
2301    initially recognized as a security issue. Thanks to Richard Morgan for
2302    providing reproducible case.
2303    [CVE-2016-7055][]
2304
2305    *Andy Polyakov*
2306
2307  * Removed automatic addition of RPATH in shared libraries and executables,
2308    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2309
2310    *Richard Levitte*
2311
2312 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2313
2314  * Fix Use After Free for large message sizes
2315
2316    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2317    message larger than approx 16k is received then the underlying buffer to
2318    store the incoming message is reallocated and moved. Unfortunately a
2319    dangling pointer to the old location is left which results in an attempt to
2320    write to the previously freed location. This is likely to result in a
2321    crash, however it could potentially lead to execution of arbitrary code.
2322
2323    This issue only affects OpenSSL 1.1.0a.
2324
2325    This issue was reported to OpenSSL by Robert Święcki.
2326    [CVE-2016-6309][]
2327
2328    *Matt Caswell*
2329
2330 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2331
2332  * OCSP Status Request extension unbounded memory growth
2333
2334    A malicious client can send an excessively large OCSP Status Request
2335    extension. If that client continually requests renegotiation, sending a
2336    large OCSP Status Request extension each time, then there will be unbounded
2337    memory growth on the server. This will eventually lead to a Denial Of
2338    Service attack through memory exhaustion. Servers with a default
2339    configuration are vulnerable even if they do not support OCSP. Builds using
2340    the "no-ocsp" build time option are not affected.
2341
2342    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2343    [CVE-2016-6304][]
2344
2345    *Matt Caswell*
2346
2347  * SSL_peek() hang on empty record
2348
2349    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2350    sends an empty record. This could be exploited by a malicious peer in a
2351    Denial Of Service attack.
2352
2353    This issue was reported to OpenSSL by Alex Gaynor.
2354    [CVE-2016-6305][]
2355
2356    *Matt Caswell*
2357
2358  * Excessive allocation of memory in tls_get_message_header() and
2359    dtls1_preprocess_fragment()
2360
2361    A (D)TLS message includes 3 bytes for its length in the header for the
2362    message. This would allow for messages up to 16Mb in length. Messages of
2363    this length are excessive and OpenSSL includes a check to ensure that a
2364    peer is sending reasonably sized messages in order to avoid too much memory
2365    being consumed to service a connection. A flaw in the logic of version
2366    1.1.0 means that memory for the message is allocated too early, prior to
2367    the excessive message length check. Due to way memory is allocated in
2368    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2369    to service a connection. This could lead to a Denial of Service through
2370    memory exhaustion. However, the excessive message length check still takes
2371    place, and this would cause the connection to immediately fail. Assuming
2372    that the application calls SSL_free() on the failed connection in a timely
2373    manner then the 21Mb of allocated memory will then be immediately freed
2374    again. Therefore the excessive memory allocation will be transitory in
2375    nature. This then means that there is only a security impact if:
2376
2377    1) The application does not call SSL_free() in a timely manner in the event
2378    that the connection fails
2379    or
2380    2) The application is working in a constrained environment where there is
2381    very little free memory
2382    or
2383    3) The attacker initiates multiple connection attempts such that there are
2384    multiple connections in a state where memory has been allocated for the
2385    connection; SSL_free() has not yet been called; and there is insufficient
2386    memory to service the multiple requests.
2387
2388    Except in the instance of (1) above any Denial Of Service is likely to be
2389    transitory because as soon as the connection fails the memory is
2390    subsequently freed again in the SSL_free() call. However there is an
2391    increased risk during this period of application crashes due to the lack of
2392    memory - which would then mean a more serious Denial of Service.
2393
2394    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2395    (CVE-2016-6307 and CVE-2016-6308)
2396
2397    *Matt Caswell*
2398
2399  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2400    had to be removed. Primary reason is that vendor assembler can't
2401    assemble our modules with -KPIC flag. As result it, assembly
2402    support, was not even available as option. But its lack means
2403    lack of side-channel resistant code, which is incompatible with
2404    security by todays standards. Fortunately gcc is readily available
2405    prepackaged option, which we firmly point at...
2406
2407    *Andy Polyakov*
2408
2409 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2410
2411  * Windows command-line tool supports UTF-8 opt-in option for arguments
2412    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2413    (to any value) allows Windows user to access PKCS#12 file generated
2414    with Windows CryptoAPI and protected with non-ASCII password, as well
2415    as files generated under UTF-8 locale on Linux also protected with
2416    non-ASCII password.
2417
2418    *Andy Polyakov*
2419
2420  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2421    have been disabled by default and removed from DEFAULT, just like RC4.
2422    See the RC4 item below to re-enable both.
2423
2424    *Rich Salz*
2425
2426  * The method for finding the storage location for the Windows RAND seed file
2427    has changed. First we check %RANDFILE%. If that is not set then we check
2428    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2429    all else fails we fall back to C:\.
2430
2431    *Matt Caswell*
2432
2433  * The EVP_EncryptUpdate() function has had its return type changed from void
2434    to int. A return of 0 indicates and error while a return of 1 indicates
2435    success.
2436
2437    *Matt Caswell*
2438
2439  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2440    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2441    off the constant time implementation for RSA, DSA and DH have been made
2442    no-ops and deprecated.
2443
2444    *Matt Caswell*
2445
2446  * Windows RAND implementation was simplified to only get entropy by
2447    calling CryptGenRandom(). Various other RAND-related tickets
2448    were also closed.
2449
2450    *Joseph Wylie Yandle, Rich Salz*
2451
2452  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2453    and `OPENSSL_LH_`, respectively.  The old names are available
2454    with API compatibility.  They new names are now completely documented.
2455
2456    *Rich Salz*
2457
2458  * Unify TYPE_up_ref(obj) methods signature.
2459    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2460    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2461    int (instead of void) like all others TYPE_up_ref() methods.
2462    So now these methods also check the return value of CRYPTO_atomic_add(),
2463    and the validity of object reference counter.
2464
2465    *fdasilvayy@gmail.com*
2466
2467  * With Windows Visual Studio builds, the .pdb files are installed
2468    alongside the installed libraries and executables.  For a static
2469    library installation, ossl_static.pdb is the associate compiler
2470    generated .pdb file to be used when linking programs.
2471
2472    *Richard Levitte*
2473
2474  * Remove openssl.spec.  Packaging files belong with the packagers.
2475
2476    *Richard Levitte*
2477
2478  * Automatic Darwin/OSX configuration has had a refresh, it will now
2479    recognise x86_64 architectures automatically.  You can still decide
2480    to build for a different bitness with the environment variable
2481    KERNEL_BITS (can be 32 or 64), for example:
2482
2483            KERNEL_BITS=32 ./config
2484
2485    *Richard Levitte*
2486
2487  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2488    256 bit AES and HMAC with SHA256.
2489
2490    *Steve Henson*
2491
2492  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2493
2494    *Andy Polyakov*
2495
2496  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2497
2498    *Rich Salz*
2499
2500  * To enable users to have their own config files and build file templates,
2501    Configure looks in the directory indicated by the environment variable
2502    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2503    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2504    name and is used as is.
2505
2506    *Richard Levitte*
2507
2508  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2509    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2510    X509_CERT_FILE_CTX was removed.
2511
2512    *Rich Salz*
2513
2514  * "shared" builds are now the default. To create only static libraries use
2515    the "no-shared" Configure option.
2516
2517    *Matt Caswell*
2518
2519  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2520    All of these option have not worked for some while and are fundamental
2521    algorithms.
2522
2523    *Matt Caswell*
2524
2525  * Make various cleanup routines no-ops and mark them as deprecated. Most
2526    global cleanup functions are no longer required because they are handled
2527    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2528    Explicitly de-initing can cause problems (e.g. where a library that uses
2529    OpenSSL de-inits, but an application is still using it). The affected
2530    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2531    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2532    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2533    COMP_zlib_cleanup().
2534
2535    *Matt Caswell*
2536
2537  * --strict-warnings no longer enables runtime debugging options
2538    such as REF_DEBUG. Instead, debug options are automatically
2539    enabled with '--debug' builds.
2540
2541    *Andy Polyakov, Emilia Käsper*
2542
2543  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2544    have been moved out of the public header files. New functions for managing
2545    these have been added.
2546
2547    *Matt Caswell*
2548
2549  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2550    objects have been moved out of the public header files. New
2551    functions for managing these have been added.
2552
2553    *Richard Levitte*
2554
2555  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2556    have been moved out of the public header files. New functions for managing
2557    these have been added.
2558
2559    *Matt Caswell*
2560
2561  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2562    moved out of the public header files. New functions for managing these
2563    have been added.
2564
2565    *Matt Caswell*
2566
2567  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2568
2569    *Matt Caswell*
2570
2571  * Removed the mk1mf build scripts.
2572
2573    *Richard Levitte*
2574
2575  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2576    it is always safe to #include a header now.
2577
2578    *Rich Salz*
2579
2580  * Removed the aged BC-32 config and all its supporting scripts
2581
2582    *Richard Levitte*
2583
2584  * Removed support for Ultrix, Netware, and OS/2.
2585
2586    *Rich Salz*
2587
2588  * Add support for HKDF.
2589
2590    *Alessandro Ghedini*
2591
2592  * Add support for blake2b and blake2s
2593
2594    *Bill Cox*
2595
2596  * Added support for "pipelining". Ciphers that have the
2597    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2598    encryptions/decryptions simultaneously. There are currently no built-in
2599    ciphers with this property but the expectation is that engines will be able
2600    to offer it to significantly improve throughput. Support has been extended
2601    into libssl so that multiple records for a single connection can be
2602    processed in one go (for >=TLS 1.1).
2603
2604    *Matt Caswell*
2605
2606  * Added the AFALG engine. This is an async capable engine which is able to
2607    offload work to the Linux kernel. In this initial version it only supports
2608    AES128-CBC. The kernel must be version 4.1.0 or greater.
2609
2610    *Catriona Lucey*
2611
2612  * OpenSSL now uses a new threading API. It is no longer necessary to
2613    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2614    are two supported threading models: pthreads and windows threads. It is
2615    also possible to configure OpenSSL at compile time for "no-threads". The
2616    old threading API should no longer be used. The functions have been
2617    replaced with "no-op" compatibility macros.
2618
2619    *Alessandro Ghedini, Matt Caswell*
2620
2621  * Modify behavior of ALPN to invoke callback after SNI/servername
2622    callback, such that updates to the SSL_CTX affect ALPN.
2623
2624    *Todd Short*
2625
2626  * Add SSL_CIPHER queries for authentication and key-exchange.
2627
2628    *Todd Short*
2629
2630  * Changes to the DEFAULT cipherlist:
2631    - Prefer (EC)DHE handshakes over plain RSA.
2632    - Prefer AEAD ciphers over legacy ciphers.
2633    - Prefer ECDSA over RSA when both certificates are available.
2634    - Prefer TLSv1.2 ciphers/PRF.
2635    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2636      default cipherlist.
2637
2638    *Emilia Käsper*
2639
2640  * Change the ECC default curve list to be this, in order: x25519,
2641    secp256r1, secp521r1, secp384r1.
2642
2643    *Rich Salz*
2644
2645  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2646    disabled by default. They can be re-enabled using the
2647    enable-weak-ssl-ciphers option to Configure.
2648
2649    *Matt Caswell*
2650
2651  * If the server has ALPN configured, but supports no protocols that the
2652    client advertises, send a fatal "no_application_protocol" alert.
2653    This behaviour is SHALL in RFC 7301, though it isn't universally
2654    implemented by other servers.
2655
2656    *Emilia Käsper*
2657
2658  * Add X25519 support.
2659    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2660    for public and private key encoding using the format documented in
2661    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2662    key generation and key derivation.
2663
2664    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2665    X25519(29).
2666
2667    *Steve Henson*
2668
2669  * Deprecate SRP_VBASE_get_by_user.
2670    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2671    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2672    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2673    seed, even if the seed is configured.
2674
2675    Users should use SRP_VBASE_get1_by_user instead. Note that in
2676    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2677    also that even though configuring the SRP seed attempts to hide
2678    invalid usernames by continuing the handshake with fake
2679    credentials, this behaviour is not constant time and no strong
2680    guarantees are made that the handshake is indistinguishable from
2681    that of a valid user.
2682
2683    *Emilia Käsper*
2684
2685  * Configuration change; it's now possible to build dynamic engines
2686    without having to build shared libraries and vice versa.  This
2687    only applies to the engines in engines/, those in crypto/engine/
2688    will always be built into libcrypto (i.e. "static").
2689
2690    Building dynamic engines is enabled by default; to disable, use
2691    the configuration option "disable-dynamic-engine".
2692
2693    The only requirements for building dynamic engines are the
2694    presence of the DSO module and building with position independent
2695    code, so they will also automatically be disabled if configuring
2696    with "disable-dso" or "disable-pic".
2697
2698    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2699    are also taken away from openssl/opensslconf.h, as they are
2700    irrelevant.
2701
2702    *Richard Levitte*
2703
2704  * Configuration change; if there is a known flag to compile
2705    position independent code, it will always be applied on the
2706    libcrypto and libssl object files, and never on the application
2707    object files.  This means other libraries that use routines from
2708    libcrypto / libssl can be made into shared libraries regardless
2709    of how OpenSSL was configured.
2710
2711    If this isn't desirable, the configuration options "disable-pic"
2712    or "no-pic" can be used to disable the use of PIC.  This will
2713    also disable building shared libraries and dynamic engines.
2714
2715    *Richard Levitte*
2716
2717  * Removed JPAKE code.  It was experimental and has no wide use.
2718
2719    *Rich Salz*
2720
2721  * The INSTALL_PREFIX Makefile variable has been renamed to
2722    DESTDIR.  That makes for less confusion on what this variable
2723    is for.  Also, the configuration option --install_prefix is
2724    removed.
2725
2726    *Richard Levitte*
2727
2728  * Heartbeat for TLS has been removed and is disabled by default
2729    for DTLS; configure with enable-heartbeats.  Code that uses the
2730    old #define's might need to be updated.
2731
2732    *Emilia Käsper, Rich Salz*
2733
2734  * Rename REF_CHECK to REF_DEBUG.
2735
2736    *Rich Salz*
2737
2738  * New "unified" build system
2739
2740    The "unified" build system is aimed to be a common system for all
2741    platforms we support.  With it comes new support for VMS.
2742
2743    This system builds supports building in a different directory tree
2744    than the source tree.  It produces one Makefile (for unix family
2745    or lookalikes), or one descrip.mms (for VMS).
2746
2747    The source of information to make the Makefile / descrip.mms is
2748    small files called 'build.info', holding the necessary
2749    information for each directory with source to compile, and a
2750    template in Configurations, like unix-Makefile.tmpl or
2751    descrip.mms.tmpl.
2752
2753    With this change, the library names were also renamed on Windows
2754    and on VMS.  They now have names that are closer to the standard
2755    on Unix, and include the major version number, and in certain
2756    cases, the architecture they are built for.  See "Notes on shared
2757    libraries" in INSTALL.
2758
2759    We rely heavily on the perl module Text::Template.
2760
2761    *Richard Levitte*
2762
2763  * Added support for auto-initialisation and de-initialisation of the library.
2764    OpenSSL no longer requires explicit init or deinit routines to be called,
2765    except in certain circumstances. See the OPENSSL_init_crypto() and
2766    OPENSSL_init_ssl() man pages for further information.
2767
2768    *Matt Caswell*
2769
2770  * The arguments to the DTLSv1_listen function have changed. Specifically the
2771    "peer" argument is now expected to be a BIO_ADDR object.
2772
2773  * Rewrite of BIO networking library. The BIO library lacked consistent
2774    support of IPv6, and adding it required some more extensive
2775    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2776    which hold all types of addresses and chains of address information.
2777    It also introduces a new API, with functions like BIO_socket,
2778    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2779    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2780    have been adapted accordingly.
2781
2782    *Richard Levitte*
2783
2784  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2785    the leading 0-byte.
2786
2787    *Emilia Käsper*
2788
2789  * CRIME protection: disable compression by default, even if OpenSSL is
2790    compiled with zlib enabled. Applications can still enable compression
2791    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2792    using the SSL_CONF library to configure compression.
2793
2794    *Emilia Käsper*
2795
2796  * The signature of the session callback configured with
2797    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2798    was explicitly marked as `const unsigned char*` instead of
2799    `unsigned char*`.
2800
2801    *Emilia Käsper*
2802
2803  * Always DPURIFY. Remove the use of uninitialized memory in the
2804    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2805
2806    *Emilia Käsper*
2807
2808  * Removed many obsolete configuration items, including
2809       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2810       MD2_CHAR, MD2_INT, MD2_LONG
2811       BF_PTR, BF_PTR2
2812       IDEA_SHORT, IDEA_LONG
2813       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2814
2815    *Rich Salz, with advice from Andy Polyakov*
2816
2817  * Many BN internals have been moved to an internal header file.
2818
2819    *Rich Salz with help from Andy Polyakov*
2820
2821  * Configuration and writing out the results from it has changed.
2822    Files such as Makefile include/openssl/opensslconf.h and are now
2823    produced through general templates, such as Makefile.in and
2824    crypto/opensslconf.h.in and some help from the perl module
2825    Text::Template.
2826
2827    Also, the center of configuration information is no longer
2828    Makefile.  Instead, Configure produces a perl module in
2829    configdata.pm which holds most of the config data (in the hash
2830    table %config), the target data that comes from the target
2831    configuration in one of the `Configurations/*.conf~ files (in
2832    %target).
2833
2834    *Richard Levitte*
2835
2836  * To clarify their intended purposes, the Configure options
2837    --prefix and --openssldir change their semantics, and become more
2838    straightforward and less interdependent.
2839
2840    --prefix shall be used exclusively to give the location INSTALLTOP
2841    where programs, scripts, libraries, include files and manuals are
2842    going to be installed.  The default is now /usr/local.
2843
2844    --openssldir shall be used exclusively to give the default
2845    location OPENSSLDIR where certificates, private keys, CRLs are
2846    managed.  This is also where the default openssl.cnf gets
2847    installed.
2848    If the directory given with this option is a relative path, the
2849    values of both the --prefix value and the --openssldir value will
2850    be combined to become OPENSSLDIR.
2851    The default for --openssldir is INSTALLTOP/ssl.
2852
2853    Anyone who uses --openssldir to specify where OpenSSL is to be
2854    installed MUST change to use --prefix instead.
2855
2856    *Richard Levitte*
2857
2858  * The GOST engine was out of date and therefore it has been removed. An up
2859    to date GOST engine is now being maintained in an external repository.
2860    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2861    support for GOST ciphersuites (these are only activated if a GOST engine
2862    is present).
2863
2864    *Matt Caswell*
2865
2866  * EGD is no longer supported by default; use enable-egd when
2867    configuring.
2868
2869    *Ben Kaduk and Rich Salz*
2870
2871  * The distribution now has Makefile.in files, which are used to
2872    create Makefile's when Configure is run.  *Configure must be run
2873    before trying to build now.*
2874
2875    *Rich Salz*
2876
2877  * The return value for SSL_CIPHER_description() for error conditions
2878    has changed.
2879
2880    *Rich Salz*
2881
2882  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2883
2884    Obtaining and performing DNSSEC validation of TLSA records is
2885    the application's responsibility.  The application provides
2886    the TLSA records of its choice to OpenSSL, and these are then
2887    used to authenticate the peer.
2888
2889    The TLSA records need not even come from DNS.  They can, for
2890    example, be used to implement local end-entity certificate or
2891    trust-anchor "pinning", where the "pin" data takes the form
2892    of TLSA records, which can augment or replace verification
2893    based on the usual WebPKI public certification authorities.
2894
2895    *Viktor Dukhovni*
2896
2897  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2898    continues to support deprecated interfaces in default builds.
2899    However, applications are strongly advised to compile their
2900    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2901    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2902    or the 1.1.0 releases.
2903
2904    In environments in which all applications have been ported to
2905    not use any deprecated interfaces OpenSSL's Configure script
2906    should be used with the --api=1.1.0 option to entirely remove
2907    support for the deprecated features from the library and
2908    unconditionally disable them in the installed headers.
2909    Essentially the same effect can be achieved with the "no-deprecated"
2910    argument to Configure, except that this will always restrict
2911    the build to just the latest API, rather than a fixed API
2912    version.
2913
2914    As applications are ported to future revisions of the API,
2915    they should update their compile-time OPENSSL_API_COMPAT define
2916    accordingly, but in most cases should be able to continue to
2917    compile with later releases.
2918
2919    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2920    0x10000000L and 0x00908000L, respectively.  However those
2921    versions did not support the OPENSSL_API_COMPAT feature, and
2922    so applications are not typically tested for explicit support
2923    of just the undeprecated features of either release.
2924
2925    *Viktor Dukhovni*
2926
2927  * Add support for setting the minimum and maximum supported protocol.
2928    It can bet set via the SSL_set_min_proto_version() and
2929    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2930    MaxProtocol.  It's recommended to use the new APIs to disable
2931    protocols instead of disabling individual protocols using
2932    SSL_set_options() or SSL_CONF's Protocol.  This change also
2933    removes support for disabling TLS 1.2 in the OpenSSL TLS
2934    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2935
2936    *Kurt Roeckx*
2937
2938  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2939
2940    *Andy Polyakov*
2941
2942  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2943    and integrates ECDSA and ECDH functionality into EC. Implementations can
2944    now redirect key generation and no longer need to convert to or from
2945    ECDSA_SIG format.
2946
2947    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2948    include the ec.h header file instead.
2949
2950    *Steve Henson*
2951
2952  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2953    ciphers who are no longer supported and drops support the ephemeral RSA key
2954    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2955
2956    *Kurt Roeckx*
2957
2958  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2959    opaque.  For HMAC_CTX, the following constructors and destructors
2960    were added:
2961
2962       HMAC_CTX *HMAC_CTX_new(void);
2963       void HMAC_CTX_free(HMAC_CTX *ctx);
2964
2965    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2966    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2967    EVP_CIPHER_meth_new(3) for documentation.
2968
2969    Additional changes:
2970    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2971       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2972       EVP_MD_CTX_reset() should be called instead to reinitialise
2973       an already created structure.
2974    2) For consistency with the majority of our object creators and
2975       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2976       EVP_MD_CTX_(new|free).  The old names are retained as macros
2977       for deprecated builds.
2978
2979    *Richard Levitte*
2980
2981  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2982    cryptographic operations to be performed asynchronously as long as an
2983    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2984    further details. Libssl has also had this capability integrated with the
2985    introduction of the new mode SSL_MODE_ASYNC and associated error
2986    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2987    pages. This work was developed in partnership with Intel Corp.
2988
2989    *Matt Caswell*
2990
2991  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2992    always enabled now.  If you want to disable the support you should
2993    exclude it using the list of supported ciphers. This also means that the
2994    "-no_ecdhe" option has been removed from s_server.
2995
2996    *Kurt Roeckx*
2997
2998  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2999    SSL_{CTX_}set1_curves() which can set a list.
3000
3001    *Kurt Roeckx*
3002
3003  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3004    curve you want to support using SSL_{CTX_}set1_curves().
3005
3006    *Kurt Roeckx*
3007
3008  * State machine rewrite. The state machine code has been significantly
3009    refactored in order to remove much duplication of code and solve issues
3010    with the old code (see ssl/statem/README for further details). This change
3011    does have some associated API changes. Notably the SSL_state() function
3012    has been removed and replaced by SSL_get_state which now returns an
3013    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3014    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3015    also been removed.
3016
3017    *Matt Caswell*
3018
3019  * All instances of the string "ssleay" in the public API were replaced
3020    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3021    Some error codes related to internal RSA_eay API's were renamed.
3022
3023    *Rich Salz*
3024
3025  * The demo files in crypto/threads were moved to demo/threads.
3026
3027    *Rich Salz*
3028
3029  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3030    sureware and ubsec.
3031
3032    *Matt Caswell, Rich Salz*
3033
3034  * New ASN.1 embed macro.
3035
3036    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3037    structure is not allocated: it is part of the parent. That is instead of
3038
3039            FOO *x;
3040
3041    it must be:
3042
3043            FOO x;
3044
3045    This reduces memory fragmentation and make it impossible to accidentally
3046    set a mandatory field to NULL.
3047
3048    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3049    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3050    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3051    SEQUENCE OF.
3052
3053    *Steve Henson*
3054
3055  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3056
3057    *Emilia Käsper*
3058
3059  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3060    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3061    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3062    DES and RC4 ciphersuites.
3063
3064    *Matt Caswell*
3065
3066  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3067    This changes the decoding behaviour for some invalid messages,
3068    though the change is mostly in the more lenient direction, and
3069    legacy behaviour is preserved as much as possible.
3070
3071    *Emilia Käsper*
3072
3073  * Fix no-stdio build.
3074    * David Woodhouse <David.Woodhouse@intel.com> and also
3075     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3076
3077  * New testing framework
3078    The testing framework has been largely rewritten and is now using
3079    perl and the perl modules Test::Harness and an extended variant of
3080    Test::More called OpenSSL::Test to do its work.  All test scripts in
3081    test/ have been rewritten into test recipes, and all direct calls to
3082    executables in test/Makefile have become individual recipes using the
3083    simplified testing OpenSSL::Test::Simple.
3084
3085    For documentation on our testing modules, do:
3086
3087            perldoc test/testlib/OpenSSL/Test/Simple.pm
3088            perldoc test/testlib/OpenSSL/Test.pm
3089
3090    *Richard Levitte*
3091
3092  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3093    are used; the latter aborts on memory leaks (usually checked on exit).
3094    Some undocumented "set malloc, etc., hooks" functions were removed
3095    and others were changed.  All are now documented.
3096
3097    *Rich Salz*
3098
3099  * In DSA_generate_parameters_ex, if the provided seed is too short,
3100    return an error
3101
3102    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3103
3104  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3105    from RFC4279, RFC4785, RFC5487, RFC5489.
3106
3107    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3108    original RSA_PSK patch.
3109
3110    *Steve Henson*
3111
3112  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3113    era flag was never set throughout the codebase (only read). Also removed
3114    SSL3_FLAGS_POP_BUFFER which was only used if
3115    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3116
3117    *Matt Caswell*
3118
3119  * Changed the default name options in the "ca", "crl", "req" and "x509"
3120    to be "oneline" instead of "compat".
3121
3122    *Richard Levitte*
3123
3124  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3125    not aware of clients that still exhibit this bug, and the workaround
3126    hasn't been working properly for a while.
3127
3128    *Emilia Käsper*
3129
3130  * The return type of BIO_number_read() and BIO_number_written() as well as
3131    the corresponding num_read and num_write members in the BIO structure has
3132    changed from unsigned long to uint64_t. On platforms where an unsigned
3133    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3134    transferred.
3135
3136    *Matt Caswell*
3137
3138  * Given the pervasive nature of TLS extensions it is inadvisable to run
3139    OpenSSL without support for them. It also means that maintaining
3140    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3141    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3142
3143    *Matt Caswell*
3144
3145  * Removed support for the two export grade static DH ciphersuites
3146    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3147    were newly added (along with a number of other static DH ciphersuites) to
3148    1.0.2. However the two export ones have *never* worked since they were
3149    introduced. It seems strange in any case to be adding new export
3150    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3151
3152    *Matt Caswell*
3153
3154  * Version negotiation has been rewritten. In particular SSLv23_method(),
3155    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3156    and turned into macros which simply call the new preferred function names
3157    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3158    should use the new names instead. Also as part of this change the ssl23.h
3159    header file has been removed.
3160
3161    *Matt Caswell*
3162
3163  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3164    code and the associated standard is no longer considered fit-for-purpose.
3165
3166    *Matt Caswell*
3167
3168  * RT2547 was closed.  When generating a private key, try to make the
3169    output file readable only by the owner.  This behavior change might
3170    be noticeable when interacting with other software.
3171
3172  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3173    Added a test.
3174
3175    *Rich Salz*
3176
3177  * Added HTTP GET support to the ocsp command.
3178
3179    *Rich Salz*
3180
3181  * Changed default digest for the dgst and enc commands from MD5 to
3182    sha256
3183
3184    *Rich Salz*
3185
3186  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3187
3188    *Matt Caswell*
3189
3190  * Added support for TLS extended master secret from
3191    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3192    initial patch which was a great help during development.
3193
3194    *Steve Henson*
3195
3196  * All libssl internal structures have been removed from the public header
3197    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3198    now redundant). Users should not attempt to access internal structures
3199    directly. Instead they should use the provided API functions.
3200
3201    *Matt Caswell*
3202
3203  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3204    Access to deprecated functions can be re-enabled by running config with
3205    "enable-deprecated". In addition applications wishing to use deprecated
3206    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3207    will, by default, disable some transitive includes that previously existed
3208    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3209
3210    *Matt Caswell*
3211
3212  * Added support for OCB mode. OpenSSL has been granted a patent license
3213    compatible with the OpenSSL license for use of OCB. Details are available
3214    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3215    for OCB can be removed by calling config with no-ocb.
3216
3217    *Matt Caswell*
3218
3219  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3220    compatible client hello.
3221
3222    *Kurt Roeckx*
3223
3224  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3225    done while fixing the error code for the key-too-small case.
3226
3227    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3228
3229  * CA.sh has been removed; use CA.pl instead.
3230
3231    *Rich Salz*
3232
3233  * Removed old DES API.
3234
3235    *Rich Salz*
3236
3237  * Remove various unsupported platforms:
3238       Sony NEWS4
3239       BEOS and BEOS_R5
3240       NeXT
3241       SUNOS
3242       MPE/iX
3243       Sinix/ReliantUNIX RM400
3244       DGUX
3245       NCR
3246       Tandem
3247       Cray
3248       16-bit platforms such as WIN16
3249
3250    *Rich Salz*
3251
3252  * Clean up OPENSSL_NO_xxx #define's
3253    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3254    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3255    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3256    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3257    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3258    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3259      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3260      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3261      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3262    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3263
3264    *Rich Salz*
3265
3266  * Cleaned up dead code
3267      Remove all but one '#ifdef undef' which is to be looked at.
3268
3269    *Rich Salz*
3270
3271  * Clean up calling of xxx_free routines.
3272       Just like free(), fix most of the xxx_free routines to accept
3273       NULL.  Remove the non-null checks from callers.  Save much code.
3274
3275    *Rich Salz*
3276
3277  * Add secure heap for storage of private keys (when possible).
3278    Add BIO_s_secmem(), CBIGNUM, etc.
3279    Contributed by Akamai Technologies under our Corporate CLA.
3280
3281    *Rich Salz*
3282
3283  * Experimental support for a new, fast, unbiased prime candidate generator,
3284    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3285
3286    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3287
3288  * New output format NSS in the sess_id command line tool. This allows
3289    exporting the session id and the master key in NSS keylog format.
3290
3291    *Martin Kaiser <martin@kaiser.cx>*
3292
3293  * Harmonize version and its documentation. -f flag is used to display
3294    compilation flags.
3295
3296    *mancha <mancha1@zoho.com>*
3297
3298  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3299    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3300
3301    *mancha <mancha1@zoho.com>*
3302
3303  * Fix some double frees. These are not thought to be exploitable.
3304
3305    *mancha <mancha1@zoho.com>*
3306
3307  * A missing bounds check in the handling of the TLS heartbeat extension
3308    can be used to reveal up to 64k of memory to a connected client or
3309    server.
3310
3311    Thanks for Neel Mehta of Google Security for discovering this bug and to
3312    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3313    preparing the fix [CVE-2014-0160][]
3314
3315    *Adam Langley, Bodo Moeller*
3316
3317  * Fix for the attack described in the paper "Recovering OpenSSL
3318    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3319    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3320    <http://eprint.iacr.org/2014/140>
3321
3322    Thanks to Yuval Yarom and Naomi Benger for discovering this
3323    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3324
3325    *Yuval Yarom and Naomi Benger*
3326
3327  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3328    this fixes a limitation in previous versions of OpenSSL.
3329
3330    *Steve Henson*
3331
3332  * Experimental encrypt-then-mac support.
3333
3334    Experimental support for encrypt then mac from
3335    draft-gutmann-tls-encrypt-then-mac-02.txt
3336
3337    To enable it set the appropriate extension number (0x42 for the test
3338    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3339
3340    For non-compliant peers (i.e. just about everything) this should have no
3341    effect.
3342
3343    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3344
3345    *Steve Henson*
3346
3347  * Add EVP support for key wrapping algorithms, to avoid problems with
3348    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3349    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3350    algorithms and include tests cases.
3351
3352    *Steve Henson*
3353
3354  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3355    enveloped data.
3356
3357    *Steve Henson*
3358
3359  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3360    MGF1 digest and OAEP label.
3361
3362    *Steve Henson*
3363
3364  * Make openssl verify return errors.
3365
3366    *Chris Palmer <palmer@google.com> and Ben Laurie*
3367
3368  * New function ASN1_TIME_diff to calculate the difference between two
3369    ASN1_TIME structures or one structure and the current time.
3370
3371    *Steve Henson*
3372
3373  * Update fips_test_suite to support multiple command line options. New
3374    test to induce all self test errors in sequence and check expected
3375    failures.
3376
3377    *Steve Henson*
3378
3379  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3380    sign or verify all in one operation.
3381
3382    *Steve Henson*
3383
3384  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3385    test programs and fips_test_suite. Includes functionality to parse
3386    the minimal script output of fipsalgest.pl directly.
3387
3388    *Steve Henson*
3389
3390  * Add authorisation parameter to FIPS_module_mode_set().
3391
3392    *Steve Henson*
3393
3394  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3395
3396    *Steve Henson*
3397
3398  * Use separate DRBG fields for internal and external flags. New function
3399    FIPS_drbg_health_check() to perform on demand health checking. Add
3400    generation tests to fips_test_suite with reduced health check interval to
3401    demonstrate periodic health checking. Add "nodh" option to
3402    fips_test_suite to skip very slow DH test.
3403
3404    *Steve Henson*
3405
3406  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3407    based on NID.
3408
3409    *Steve Henson*
3410
3411  * More extensive health check for DRBG checking many more failure modes.
3412    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3413    combination: call this in fips_test_suite.
3414
3415    *Steve Henson*
3416
3417  * Add support for canonical generation of DSA parameter 'g'. See
3418    FIPS 186-3 A.2.3.
3419
3420  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3421    POST to handle HMAC cases.
3422
3423    *Steve Henson*
3424
3425  * Add functions FIPS_module_version() and FIPS_module_version_text()
3426    to return numerical and string versions of the FIPS module number.
3427
3428    *Steve Henson*
3429
3430  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3431    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3432    outside the validated module in the FIPS capable OpenSSL.
3433
3434    *Steve Henson*
3435
3436  * Minor change to DRBG entropy callback semantics. In some cases
3437    there is no multiple of the block length between min_len and
3438    max_len. Allow the callback to return more than max_len bytes
3439    of entropy but discard any extra: it is the callback's responsibility
3440    to ensure that the extra data discarded does not impact the
3441    requested amount of entropy.
3442
3443    *Steve Henson*
3444
3445  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3446    information in FIPS186-3, SP800-57 and SP800-131A.
3447
3448    *Steve Henson*
3449
3450  * CCM support via EVP. Interface is very similar to GCM case except we
3451    must supply all data in one chunk (i.e. no update, final) and the
3452    message length must be supplied if AAD is used. Add algorithm test
3453    support.
3454
3455    *Steve Henson*
3456
3457  * Initial version of POST overhaul. Add POST callback to allow the status
3458    of POST to be monitored and/or failures induced. Modify fips_test_suite
3459    to use callback. Always run all selftests even if one fails.
3460
3461    *Steve Henson*
3462
3463  * XTS support including algorithm test driver in the fips_gcmtest program.
3464    Note: this does increase the maximum key length from 32 to 64 bytes but
3465    there should be no binary compatibility issues as existing applications
3466    will never use XTS mode.
3467
3468    *Steve Henson*
3469
3470  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3471    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3472    performs algorithm blocking for unapproved PRNG types. Also do not
3473    set PRNG type in FIPS_mode_set(): leave this to the application.
3474    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3475    the standard OpenSSL PRNG: set additional data to a date time vector.
3476
3477    *Steve Henson*
3478
3479  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3480    This shouldn't present any incompatibility problems because applications
3481    shouldn't be using these directly and any that are will need to rethink
3482    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3483
3484    *Steve Henson*
3485
3486  * Extensive self tests and health checking required by SP800-90 DRBG.
3487    Remove strength parameter from FIPS_drbg_instantiate and always
3488    instantiate at maximum supported strength.
3489
3490    *Steve Henson*
3491
3492  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3493
3494    *Steve Henson*
3495
3496  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3497
3498    *Steve Henson*
3499
3500  * New function DH_compute_key_padded() to compute a DH key and pad with
3501    leading zeroes if needed: this complies with SP800-56A et al.
3502
3503    *Steve Henson*
3504
3505  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3506    anything, incomplete, subject to change and largely untested at present.
3507
3508    *Steve Henson*
3509
3510  * Modify fipscanisteronly build option to only build the necessary object
3511    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3512
3513    *Steve Henson*
3514
3515  * Add experimental option FIPSSYMS to give all symbols in
3516    fipscanister.o and FIPS or fips prefix. This will avoid
3517    conflicts with future versions of OpenSSL. Add perl script
3518    util/fipsas.pl to preprocess assembly language source files
3519    and rename any affected symbols.
3520
3521    *Steve Henson*
3522
3523  * Add selftest checks and algorithm block of non-fips algorithms in
3524    FIPS mode. Remove DES2 from selftests.
3525
3526    *Steve Henson*
3527
3528  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3529    return internal method without any ENGINE dependencies. Add new
3530    tiny fips sign and verify functions.
3531
3532    *Steve Henson*
3533
3534  * New build option no-ec2m to disable characteristic 2 code.
3535
3536    *Steve Henson*
3537
3538  * New build option "fipscanisteronly". This only builds fipscanister.o
3539    and (currently) associated fips utilities. Uses the file Makefile.fips
3540    instead of Makefile.org as the prototype.
3541
3542    *Steve Henson*
3543
3544  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3545    Update fips_gcmtest to use IV generator.
3546
3547    *Steve Henson*
3548
3549  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3550    setting output buffer to NULL. The `*Final` function must be
3551    called although it will not retrieve any additional data. The tag
3552    can be set or retrieved with a ctrl. The IV length is by default 12
3553    bytes (96 bits) but can be set to an alternative value. If the IV
3554    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3555    set before the key.
3556
3557    *Steve Henson*
3558
3559  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3560    underlying do_cipher function handles all cipher semantics itself
3561    including padding and finalisation. This is useful if (for example)
3562    an ENGINE cipher handles block padding itself. The behaviour of
3563    do_cipher is subtly changed if this flag is set: the return value
3564    is the number of characters written to the output buffer (zero is
3565    no longer an error code) or a negative error code. Also if the
3566    input buffer is NULL and length 0 finalisation should be performed.
3567
3568    *Steve Henson*
3569
3570  * If a candidate issuer certificate is already part of the constructed
3571    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3572
3573    *Steve Henson*
3574
3575  * Improve forward-security support: add functions
3576
3577            void SSL_CTX_set_not_resumable_session_callback(
3578                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3579            void SSL_set_not_resumable_session_callback(
3580                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3581
3582    for use by SSL/TLS servers; the callback function will be called whenever a
3583    new session is created, and gets to decide whether the session may be
3584    cached to make it resumable (return 0) or not (return 1).  (As by the
3585    SSL/TLS protocol specifications, the session_id sent by the server will be
3586    empty to indicate that the session is not resumable; also, the server will
3587    not generate RFC 4507 (RFC 5077) session tickets.)
3588
3589    A simple reasonable callback implementation is to return is_forward_secure.
3590    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3591    by the SSL/TLS server library, indicating whether it can provide forward
3592    security.
3593
3594    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3595
3596  * New -verify_name option in command line utilities to set verification
3597    parameters by name.
3598
3599    *Steve Henson*
3600
3601  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3602    Add CMAC pkey methods.
3603
3604    *Steve Henson*
3605
3606  * Experimental renegotiation in s_server -www mode. If the client
3607    browses /reneg connection is renegotiated. If /renegcert it is
3608    renegotiated requesting a certificate.
3609
3610    *Steve Henson*
3611
3612  * Add an "external" session cache for debugging purposes to s_server. This
3613    should help trace issues which normally are only apparent in deployed
3614    multi-process servers.
3615
3616    *Steve Henson*
3617
3618  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3619    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3620    BIO_set_cipher() and some obscure PEM functions were changed so they
3621    can now return an error. The RAND changes required a change to the
3622    RAND_METHOD structure.
3623
3624    *Steve Henson*
3625
3626  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3627    a gcc attribute to warn if the result of a function is ignored. This
3628    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3629    whose return value is often ignored.
3630
3631    *Steve Henson*
3632
3633  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3634    These allow SCTs (signed certificate timestamps) to be requested and
3635    validated when establishing a connection.
3636
3637    *Rob Percival <robpercival@google.com>*
3638
3639 OpenSSL 1.0.2
3640 -------------
3641
3642 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3643
3644  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3645    used even when parsing explicit parameters, when loading a serialized key
3646    or calling `EC_GROUP_new_from_ecpkparameters()`/
3647    `EC_GROUP_new_from_ecparameters()`.
3648    This prevents bypass of security hardening and performance gains,
3649    especially for curves with specialized EC_METHODs.
3650    By default, if a key encoded with explicit parameters is loaded and later
3651    serialized, the output is still encoded with explicit parameters, even if
3652    internally a "named" EC_GROUP is used for computation.
3653
3654    *Nicola Tuveri*
3655
3656  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3657    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3658    NULL. After this change, only the cofactor parameter can be NULL. It also
3659    does some minimal sanity checks on the passed order.
3660    [CVE-2019-1547][]
3661
3662    *Billy Bob Brumley*
3663
3664  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3665    An attack is simple, if the first CMS_recipientInfo is valid but the
3666    second CMS_recipientInfo is chosen ciphertext. If the second
3667    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3668    encryption key will be replaced by garbage, and the message cannot be
3669    decoded, but if the RSA decryption fails, the correct encryption key is
3670    used and the recipient will not notice the attack.
3671    As a work around for this potential attack the length of the decrypted
3672    key must be equal to the cipher default key length, in case the
3673    certifiate is not given and all recipientInfo are tried out.
3674    The old behaviour can be re-enabled in the CMS code by setting the
3675    CMS_DEBUG_DECRYPT flag.
3676    [CVE-2019-1563][]
3677
3678    *Bernd Edlinger*
3679
3680  * Document issue with installation paths in diverse Windows builds
3681
3682    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3683    binaries and run-time config file.
3684    [CVE-2019-1552][]
3685
3686    *Richard Levitte*
3687
3688 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3689
3690  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3691    This changes the size when using the genpkey app when no size is given. It
3692    fixes an omission in earlier changes that changed all RSA, DSA and DH
3693    generation apps to use 2048 bits by default.
3694
3695    *Kurt Roeckx*
3696
3697  * Add FIPS support for Android Arm 64-bit
3698
3699    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3700    Module in Version 2.0.10. For some reason, the corresponding target
3701    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3702    built with FIPS support on Android Arm 64-bit. This omission has been
3703    fixed.
3704
3705    *Matthias St. Pierre*
3706
3707 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3708
3709  * 0-byte record padding oracle
3710
3711    If an application encounters a fatal protocol error and then calls
3712    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3713    then OpenSSL can respond differently to the calling application if a 0 byte
3714    record is received with invalid padding compared to if a 0 byte record is
3715    received with an invalid MAC. If the application then behaves differently
3716    based on that in a way that is detectable to the remote peer, then this
3717    amounts to a padding oracle that could be used to decrypt data.
3718
3719    In order for this to be exploitable "non-stitched" ciphersuites must be in
3720    use. Stitched ciphersuites are optimised implementations of certain
3721    commonly used ciphersuites. Also the application must call SSL_shutdown()
3722    twice even if a protocol error has occurred (applications should not do
3723    this but some do anyway).
3724
3725    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3726    Aviram, with additional investigation by Steven Collison and Andrew
3727    Hourselt. It was reported to OpenSSL on 10th December 2018.
3728    [CVE-2019-1559][]
3729
3730    *Matt Caswell*
3731
3732  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3733
3734    *Richard Levitte*
3735
3736 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3737
3738  * Microarchitecture timing vulnerability in ECC scalar multiplication
3739
3740    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3741    shown to be vulnerable to a microarchitecture timing side channel attack.
3742    An attacker with sufficient access to mount local timing attacks during
3743    ECDSA signature generation could recover the private key.
3744
3745    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3746    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3747    Nicola Tuveri.
3748    [CVE-2018-5407][]
3749
3750    *Billy Brumley*
3751
3752  * Timing vulnerability in DSA signature generation
3753
3754    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3755    timing side channel attack. An attacker could use variations in the signing
3756    algorithm to recover the private key.
3757
3758    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3759    [CVE-2018-0734][]
3760
3761    *Paul Dale*
3762
3763  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3764    Module, accidentally introduced while backporting security fixes from the
3765    development branch and hindering the use of ECC in FIPS mode.
3766
3767    *Nicola Tuveri*
3768
3769 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3770
3771  * Client DoS due to large DH parameter
3772
3773    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3774    malicious server can send a very large prime value to the client. This will
3775    cause the client to spend an unreasonably long period of time generating a
3776    key for this prime resulting in a hang until the client has finished. This
3777    could be exploited in a Denial Of Service attack.
3778
3779    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3780    [CVE-2018-0732][]
3781
3782    *Guido Vranken*
3783
3784  * Cache timing vulnerability in RSA Key Generation
3785
3786    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3787    a cache timing side channel attack. An attacker with sufficient access to
3788    mount cache timing attacks during the RSA key generation process could
3789    recover the private key.
3790
3791    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3792    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3793    [CVE-2018-0737][]
3794
3795    *Billy Brumley*
3796
3797  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3798    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3799    pem_str is reserved for alias entries only.
3800
3801    *Richard Levitte*
3802
3803  * Revert blinding in ECDSA sign and instead make problematic addition
3804    length-invariant. Switch even to fixed-length Montgomery multiplication.
3805
3806    *Andy Polyakov*
3807
3808  * Change generating and checking of primes so that the error rate of not
3809    being prime depends on the intended use based on the size of the input.
3810    For larger primes this will result in more rounds of Miller-Rabin.
3811    The maximal error rate for primes with more than 1080 bits is lowered
3812    to 2^-128.
3813
3814    *Kurt Roeckx, Annie Yousar*
3815
3816  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3817
3818    *Kurt Roeckx*
3819
3820  * Add blinding to ECDSA and DSA signatures to protect against side channel
3821    attacks discovered by Keegan Ryan (NCC Group).
3822
3823    *Matt Caswell*
3824
3825  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3826    now allow empty (zero character) pass phrases.
3827
3828    *Richard Levitte*
3829
3830  * Certificate time validation (X509_cmp_time) enforces stricter
3831    compliance with RFC 5280. Fractional seconds and timezone offsets
3832    are no longer allowed.
3833
3834    *Emilia Käsper*
3835
3836 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3837
3838  * Constructed ASN.1 types with a recursive definition could exceed the stack
3839
3840    Constructed ASN.1 types with a recursive definition (such as can be found
3841    in PKCS7) could eventually exceed the stack given malicious input with
3842    excessive recursion. This could result in a Denial Of Service attack. There
3843    are no such structures used within SSL/TLS that come from untrusted sources
3844    so this is considered safe.
3845
3846    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3847    project.
3848    [CVE-2018-0739][]
3849
3850    *Matt Caswell*
3851
3852 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3853
3854  * Read/write after SSL object in error state
3855
3856    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3857    mechanism. The intent was that if a fatal error occurred during a handshake
3858    then OpenSSL would move into the error state and would immediately fail if
3859    you attempted to continue the handshake. This works as designed for the
3860    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3861    SSL_connect()), however due to a bug it does not work correctly if
3862    SSL_read() or SSL_write() is called directly. In that scenario, if the
3863    handshake fails then a fatal error will be returned in the initial function
3864    call. If SSL_read()/SSL_write() is subsequently called by the application
3865    for the same SSL object then it will succeed and the data is passed without
3866    being decrypted/encrypted directly from the SSL/TLS record layer.
3867
3868    In order to exploit this issue an application bug would have to be present
3869    that resulted in a call to SSL_read()/SSL_write() being issued after having
3870    already received a fatal error.
3871
3872    This issue was reported to OpenSSL by David Benjamin (Google).
3873    [CVE-2017-3737][]
3874
3875    *Matt Caswell*
3876
3877  * rsaz_1024_mul_avx2 overflow bug on x86_64
3878
3879    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3880    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3881    Analysis suggests that attacks against RSA and DSA as a result of this
3882    defect would be very difficult to perform and are not believed likely.
3883    Attacks against DH1024 are considered just feasible, because most of the
3884    work necessary to deduce information about a private key may be performed
3885    offline. The amount of resources required for such an attack would be
3886    significant. However, for an attack on TLS to be meaningful, the server
3887    would have to share the DH1024 private key among multiple clients, which is
3888    no longer an option since CVE-2016-0701.
3889
3890    This only affects processors that support the AVX2 but not ADX extensions
3891    like Intel Haswell (4th generation).
3892
3893    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3894    was originally found via the OSS-Fuzz project.
3895    [CVE-2017-3738][]
3896
3897    *Andy Polyakov*
3898
3899 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
3900
3901  * bn_sqrx8x_internal carry bug on x86_64
3902
3903    There is a carry propagating bug in the x86_64 Montgomery squaring
3904    procedure. No EC algorithms are affected. Analysis suggests that attacks
3905    against RSA and DSA as a result of this defect would be very difficult to
3906    perform and are not believed likely. Attacks against DH are considered just
3907    feasible (although very difficult) because most of the work necessary to
3908    deduce information about a private key may be performed offline. The amount
3909    of resources required for such an attack would be very significant and
3910    likely only accessible to a limited number of attackers. An attacker would
3911    additionally need online access to an unpatched system using the target
3912    private key in a scenario with persistent DH parameters and a private
3913    key that is shared between multiple clients.
3914
3915    This only affects processors that support the BMI1, BMI2 and ADX extensions
3916    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3917
3918    This issue was reported to OpenSSL by the OSS-Fuzz project.
3919    [CVE-2017-3736][]
3920
3921    *Andy Polyakov*
3922
3923  * Malformed X.509 IPAddressFamily could cause OOB read
3924
3925    If an X.509 certificate has a malformed IPAddressFamily extension,
3926    OpenSSL could do a one-byte buffer overread. The most likely result
3927    would be an erroneous display of the certificate in text format.
3928
3929    This issue was reported to OpenSSL by the OSS-Fuzz project.
3930    [CVE-2017-3735][]
3931
3932    *Rich Salz*
3933
3934 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
3935
3936  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3937    platform rather than 'mingw'.
3938
3939    *Richard Levitte*
3940
3941 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
3942
3943  * Truncated packet could crash via OOB read
3944
3945    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3946    cipher is being used, then a truncated packet can cause that host to
3947    perform an out-of-bounds read, usually resulting in a crash.
3948
3949    This issue was reported to OpenSSL by Robert Święcki of Google.
3950    [CVE-2017-3731][]
3951
3952    *Andy Polyakov*
3953
3954  * BN_mod_exp may produce incorrect results on x86_64
3955
3956    There is a carry propagating bug in the x86_64 Montgomery squaring
3957    procedure. No EC algorithms are affected. Analysis suggests that attacks
3958    against RSA and DSA as a result of this defect would be very difficult to
3959    perform and are not believed likely. Attacks against DH are considered just
3960    feasible (although very difficult) because most of the work necessary to
3961    deduce information about a private key may be performed offline. The amount
3962    of resources required for such an attack would be very significant and
3963    likely only accessible to a limited number of attackers. An attacker would
3964    additionally need online access to an unpatched system using the target
3965    private key in a scenario with persistent DH parameters and a private
3966    key that is shared between multiple clients. For example this can occur by
3967    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3968    similar to CVE-2015-3193 but must be treated as a separate problem.
3969
3970    This issue was reported to OpenSSL by the OSS-Fuzz project.
3971    [CVE-2017-3732][]
3972
3973    *Andy Polyakov*
3974
3975  * Montgomery multiplication may produce incorrect results
3976
3977    There is a carry propagating bug in the Broadwell-specific Montgomery
3978    multiplication procedure that handles input lengths divisible by, but
3979    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3980    and DH private keys are impossible. This is because the subroutine in
3981    question is not used in operations with the private key itself and an input
3982    of the attacker's direct choice. Otherwise the bug can manifest itself as
3983    transient authentication and key negotiation failures or reproducible
3984    erroneous outcome of public-key operations with specially crafted input.
3985    Among EC algorithms only Brainpool P-512 curves are affected and one
3986    presumably can attack ECDH key negotiation. Impact was not analyzed in
3987    detail, because pre-requisites for attack are considered unlikely. Namely
3988    multiple clients have to choose the curve in question and the server has to
3989    share the private key among them, neither of which is default behaviour.
3990    Even then only clients that chose the curve will be affected.
3991
3992    This issue was publicly reported as transient failures and was not
3993    initially recognized as a security issue. Thanks to Richard Morgan for
3994    providing reproducible case.
3995    [CVE-2016-7055][]
3996
3997    *Andy Polyakov*
3998
3999  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4000    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4001    prevent issues where no progress is being made and the peer continually
4002    sends unrecognised record types, using up resources processing them.
4003
4004    *Matt Caswell*
4005
4006 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4007
4008  * Missing CRL sanity check
4009
4010    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4011    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4012    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4013
4014    This issue only affects the OpenSSL 1.0.2i
4015    [CVE-2016-7052][]
4016
4017    *Matt Caswell*
4018
4019 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4020
4021  * OCSP Status Request extension unbounded memory growth
4022
4023    A malicious client can send an excessively large OCSP Status Request
4024    extension. If that client continually requests renegotiation, sending a
4025    large OCSP Status Request extension each time, then there will be unbounded
4026    memory growth on the server. This will eventually lead to a Denial Of
4027    Service attack through memory exhaustion. Servers with a default
4028    configuration are vulnerable even if they do not support OCSP. Builds using
4029    the "no-ocsp" build time option are not affected.
4030
4031    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4032    [CVE-2016-6304][]
4033
4034    *Matt Caswell*
4035
4036  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4037    HIGH to MEDIUM.
4038
4039    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4040    Leurent (INRIA)
4041    [CVE-2016-2183][]
4042
4043    *Rich Salz*
4044
4045  * OOB write in MDC2_Update()
4046
4047    An overflow can occur in MDC2_Update() either if called directly or
4048    through the EVP_DigestUpdate() function using MDC2. If an attacker
4049    is able to supply very large amounts of input data after a previous
4050    call to EVP_EncryptUpdate() with a partial block then a length check
4051    can overflow resulting in a heap corruption.
4052
4053    The amount of data needed is comparable to SIZE_MAX which is impractical
4054    on most platforms.
4055
4056    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4057    [CVE-2016-6303][]
4058
4059    *Stephen Henson*
4060
4061  * Malformed SHA512 ticket DoS
4062
4063    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4064    DoS attack where a malformed ticket will result in an OOB read which will
4065    ultimately crash.
4066
4067    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4068    a custom server callback and ticket lookup mechanism.
4069
4070    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4071    [CVE-2016-6302][]
4072
4073    *Stephen Henson*
4074
4075  * OOB write in BN_bn2dec()
4076
4077    The function BN_bn2dec() does not check the return value of BN_div_word().
4078    This can cause an OOB write if an application uses this function with an
4079    overly large BIGNUM. This could be a problem if an overly large certificate
4080    or CRL is printed out from an untrusted source. TLS is not affected because
4081    record limits will reject an oversized certificate before it is parsed.
4082
4083    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4084    [CVE-2016-2182][]
4085
4086    *Stephen Henson*
4087
4088  * OOB read in TS_OBJ_print_bio()
4089
4090    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4091    the total length the OID text representation would use and not the amount
4092    of data written. This will result in OOB reads when large OIDs are
4093    presented.
4094
4095    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4096    [CVE-2016-2180][]
4097
4098    *Stephen Henson*
4099
4100  * Pointer arithmetic undefined behaviour
4101
4102    Avoid some undefined pointer arithmetic
4103
4104    A common idiom in the codebase is to check limits in the following manner:
4105    "p + len > limit"
4106
4107    Where "p" points to some malloc'd data of SIZE bytes and
4108    limit == p + SIZE
4109
4110    "len" here could be from some externally supplied data (e.g. from a TLS
4111    message).
4112
4113    The rules of C pointer arithmetic are such that "p + len" is only well
4114    defined where len <= SIZE. Therefore the above idiom is actually
4115    undefined behaviour.
4116
4117    For example this could cause problems if some malloc implementation
4118    provides an address for "p" such that "p + len" actually overflows for
4119    values of len that are too big and therefore p + len < limit.
4120
4121    This issue was reported to OpenSSL by Guido Vranken
4122    [CVE-2016-2177][]
4123
4124    *Matt Caswell*
4125
4126  * Constant time flag not preserved in DSA signing
4127
4128    Operations in the DSA signing algorithm should run in constant time in
4129    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4130    implementation means that a non-constant time codepath is followed for
4131    certain operations. This has been demonstrated through a cache-timing
4132    attack to be sufficient for an attacker to recover the private DSA key.
4133
4134    This issue was reported by César Pereida (Aalto University), Billy Brumley
4135    (Tampere University of Technology), and Yuval Yarom (The University of
4136    Adelaide and NICTA).
4137    [CVE-2016-2178][]
4138
4139    *César Pereida*
4140
4141  * DTLS buffered message DoS
4142
4143    In a DTLS connection where handshake messages are delivered out-of-order
4144    those messages that OpenSSL is not yet ready to process will be buffered
4145    for later use. Under certain circumstances, a flaw in the logic means that
4146    those messages do not get removed from the buffer even though the handshake
4147    has been completed. An attacker could force up to approx. 15 messages to
4148    remain in the buffer when they are no longer required. These messages will
4149    be cleared when the DTLS connection is closed. The default maximum size for
4150    a message is 100k. Therefore the attacker could force an additional 1500k
4151    to be consumed per connection. By opening many simulataneous connections an
4152    attacker could cause a DoS attack through memory exhaustion.
4153
4154    This issue was reported to OpenSSL by Quan Luo.
4155    [CVE-2016-2179][]
4156
4157    *Matt Caswell*
4158
4159  * DTLS replay protection DoS
4160
4161    A flaw in the DTLS replay attack protection mechanism means that records
4162    that arrive for future epochs update the replay protection "window" before
4163    the MAC for the record has been validated. This could be exploited by an
4164    attacker by sending a record for the next epoch (which does not have to
4165    decrypt or have a valid MAC), with a very large sequence number. This means
4166    that all subsequent legitimate packets are dropped causing a denial of
4167    service for a specific DTLS connection.
4168
4169    This issue was reported to OpenSSL by the OCAP audit team.
4170    [CVE-2016-2181][]
4171
4172    *Matt Caswell*
4173
4174  * Certificate message OOB reads
4175
4176    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4177    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4178    theoretical DoS risk but this has not been observed in practice on common
4179    platforms.
4180
4181    The messages affected are client certificate, client certificate request
4182    and server certificate. As a result the attack can only be performed
4183    against a client or a server which enables client authentication.
4184
4185    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4186    [CVE-2016-6306][]
4187
4188    *Stephen Henson*
4189
4190 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4191
4192  * Prevent padding oracle in AES-NI CBC MAC check
4193
4194    A MITM attacker can use a padding oracle attack to decrypt traffic
4195    when the connection uses an AES CBC cipher and the server support
4196    AES-NI.
4197
4198    This issue was introduced as part of the fix for Lucky 13 padding
4199    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4200    constant time by making sure that always the same bytes are read and
4201    compared against either the MAC or padding bytes. But it no longer
4202    checked that there was enough data to have both the MAC and padding
4203    bytes.
4204
4205    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4206    [CVE-2016-2107][]
4207
4208    *Kurt Roeckx*
4209
4210  * Fix EVP_EncodeUpdate overflow
4211
4212    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4213    Base64 encoding of binary data. If an attacker is able to supply very large
4214    amounts of input data then a length check can overflow resulting in a heap
4215    corruption.
4216
4217    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4218    the `PEM_write_bio*` family of functions. These are mainly used within the
4219    OpenSSL command line applications, so any application which processes data
4220    from an untrusted source and outputs it as a PEM file should be considered
4221    vulnerable to this issue. User applications that call these APIs directly
4222    with large amounts of untrusted data may also be vulnerable.
4223
4224    This issue was reported by Guido Vranken.
4225    [CVE-2016-2105][]
4226
4227    *Matt Caswell*
4228
4229  * Fix EVP_EncryptUpdate overflow
4230
4231    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4232    is able to supply very large amounts of input data after a previous call to
4233    EVP_EncryptUpdate() with a partial block then a length check can overflow
4234    resulting in a heap corruption. Following an analysis of all OpenSSL
4235    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4236    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4237    the first called function after an EVP_EncryptInit(), and therefore that
4238    specific call must be safe. The second form is where the length passed to
4239    EVP_EncryptUpdate() can be seen from the code to be some small value and
4240    therefore there is no possibility of an overflow. Since all instances are
4241    one of these two forms, it is believed that there can be no overflows in
4242    internal code due to this problem. It should be noted that
4243    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4244    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4245    of these calls have also been analysed too and it is believed there are no
4246    instances in internal usage where an overflow could occur.
4247
4248    This issue was reported by Guido Vranken.
4249    [CVE-2016-2106][]
4250
4251    *Matt Caswell*
4252
4253  * Prevent ASN.1 BIO excessive memory allocation
4254
4255    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4256    a short invalid encoding can cause allocation of large amounts of memory
4257    potentially consuming excessive resources or exhausting memory.
4258
4259    Any application parsing untrusted data through d2i BIO functions is
4260    affected. The memory based functions such as d2i_X509() are *not* affected.
4261    Since the memory based functions are used by the TLS library, TLS
4262    applications are not affected.
4263
4264    This issue was reported by Brian Carpenter.
4265    [CVE-2016-2109][]
4266
4267    *Stephen Henson*
4268
4269  * EBCDIC overread
4270
4271    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4272    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4273    in arbitrary stack data being returned in the buffer.
4274
4275    This issue was reported by Guido Vranken.
4276    [CVE-2016-2176][]
4277
4278    *Matt Caswell*
4279
4280  * Modify behavior of ALPN to invoke callback after SNI/servername
4281    callback, such that updates to the SSL_CTX affect ALPN.
4282
4283    *Todd Short*
4284
4285  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4286    default.
4287
4288    *Kurt Roeckx*
4289
4290  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4291    methods are enabled and ssl2 is disabled the methods return NULL.
4292
4293    *Kurt Roeckx*
4294
4295 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4296
4297 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4298   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4299   provide any "EXPORT" or "LOW" strength ciphers.
4300
4301   *Viktor Dukhovni*
4302
4303 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4304   is by default disabled at build-time.  Builds that are not configured with
4305   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4306   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4307   will need to explicitly call either of:
4308
4309       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4310   or
4311       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4312
4313   as appropriate.  Even if either of those is used, or the application
4314   explicitly uses the version-specific SSLv2_method() or its client and
4315   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4316   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4317   ciphers, and SSLv2 56-bit DES are no longer available.
4318   [CVE-2016-0800][]
4319
4320    *Viktor Dukhovni*
4321
4322  * Fix a double-free in DSA code
4323
4324    A double free bug was discovered when OpenSSL parses malformed DSA private
4325    keys and could lead to a DoS attack or memory corruption for applications
4326    that receive DSA private keys from untrusted sources.  This scenario is
4327    considered rare.
4328
4329    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4330    libFuzzer.
4331    [CVE-2016-0705][]
4332
4333    *Stephen Henson*
4334
4335  * Disable SRP fake user seed to address a server memory leak.
4336
4337    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4338
4339    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4340    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4341    was changed to ignore the "fake user" SRP seed, even if the seed
4342    is configured.
4343
4344    Users should use SRP_VBASE_get1_by_user instead. Note that in
4345    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4346    also that even though configuring the SRP seed attempts to hide
4347    invalid usernames by continuing the handshake with fake
4348    credentials, this behaviour is not constant time and no strong
4349    guarantees are made that the handshake is indistinguishable from
4350    that of a valid user.
4351    [CVE-2016-0798][]
4352
4353    *Emilia Käsper*
4354
4355  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4356
4357    In the BN_hex2bn function the number of hex digits is calculated using an
4358    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4359    large values of |i| this can result in |bn_expand| not allocating any
4360    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4361    field as NULL leading to a subsequent NULL ptr deref. For very large values
4362    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4363    In this case memory is allocated to the internal BIGNUM data field, but it
4364    is insufficiently sized leading to heap corruption. A similar issue exists
4365    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4366    is ever called by user applications with very large untrusted hex/dec data.
4367    This is anticipated to be a rare occurrence.
4368
4369    All OpenSSL internal usage of these functions use data that is not expected
4370    to be untrusted, e.g. config file data or application command line
4371    arguments. If user developed applications generate config file data based
4372    on untrusted data then it is possible that this could also lead to security
4373    consequences. This is also anticipated to be rare.
4374
4375    This issue was reported to OpenSSL by Guido Vranken.
4376    [CVE-2016-0797][]
4377
4378    *Matt Caswell*
4379
4380  * Fix memory issues in `BIO_*printf` functions
4381
4382    The internal |fmtstr| function used in processing a "%s" format string in
4383    the `BIO_*printf` functions could overflow while calculating the length of a
4384    string and cause an OOB read when printing very long strings.
4385
4386    Additionally the internal |doapr_outch| function can attempt to write to an
4387    OOB memory location (at an offset from the NULL pointer) in the event of a
4388    memory allocation failure. In 1.0.2 and below this could be caused where
4389    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4390    could be in processing a very long "%s" format string. Memory leaks can
4391    also occur.
4392
4393    The first issue may mask the second issue dependent on compiler behaviour.
4394    These problems could enable attacks where large amounts of untrusted data
4395    is passed to the `BIO_*printf` functions. If applications use these functions
4396    in this way then they could be vulnerable. OpenSSL itself uses these
4397    functions when printing out human-readable dumps of ASN.1 data. Therefore
4398    applications that print this data could be vulnerable if the data is from
4399    untrusted sources. OpenSSL command line applications could also be
4400    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4401    as command line arguments.
4402
4403    Libssl is not considered directly vulnerable. Additionally certificates etc
4404    received via remote connections via libssl are also unlikely to be able to
4405    trigger these issues because of message size limits enforced within libssl.
4406
4407    This issue was reported to OpenSSL Guido Vranken.
4408    [CVE-2016-0799][]
4409
4410    *Matt Caswell*
4411
4412  * Side channel attack on modular exponentiation
4413
4414    A side-channel attack was found which makes use of cache-bank conflicts on
4415    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4416    of RSA keys.  The ability to exploit this issue is limited as it relies on
4417    an attacker who has control of code in a thread running on the same
4418    hyper-threaded core as the victim thread which is performing decryptions.
4419
4420    This issue was reported to OpenSSL by Yuval Yarom, The University of
4421    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4422    Nadia Heninger, University of Pennsylvania with more information at
4423    <http://cachebleed.info>.
4424    [CVE-2016-0702][]
4425
4426    *Andy Polyakov*
4427
4428  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4429    if no keysize is specified with default_bits. This fixes an
4430    omission in an earlier change that changed all RSA/DSA key generation
4431    apps to use 2048 bits by default.
4432
4433    *Emilia Käsper*
4434
4435 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
4436
4437  * DH small subgroups
4438
4439    Historically OpenSSL only ever generated DH parameters based on "safe"
4440    primes. More recently (in version 1.0.2) support was provided for
4441    generating X9.42 style parameter files such as those required for RFC 5114
4442    support. The primes used in such files may not be "safe". Where an
4443    application is using DH configured with parameters based on primes that are
4444    not "safe" then an attacker could use this fact to find a peer's private
4445    DH exponent. This attack requires that the attacker complete multiple
4446    handshakes in which the peer uses the same private DH exponent. For example
4447    this could be used to discover a TLS server's private DH exponent if it's
4448    reusing the private DH exponent or it's using a static DH ciphersuite.
4449
4450    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4451    TLS. It is not on by default. If the option is not set then the server
4452    reuses the same private DH exponent for the life of the server process and
4453    would be vulnerable to this attack. It is believed that many popular
4454    applications do set this option and would therefore not be at risk.
4455
4456    The fix for this issue adds an additional check where a "q" parameter is
4457    available (as is the case in X9.42 based parameters). This detects the
4458    only known attack, and is the only possible defense for static DH
4459    ciphersuites. This could have some performance impact.
4460
4461    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4462    default and cannot be disabled. This could have some performance impact.
4463
4464    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4465    [CVE-2016-0701][]
4466
4467    *Matt Caswell*
4468
4469  * SSLv2 doesn't block disabled ciphers
4470
4471    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4472    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4473    been disabled, provided that the SSLv2 protocol was not also disabled via
4474    SSL_OP_NO_SSLv2.
4475
4476    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4477    and Sebastian Schinzel.
4478    [CVE-2015-3197][]
4479
4480    *Viktor Dukhovni*
4481
4482 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015]
4483
4484  * BN_mod_exp may produce incorrect results on x86_64
4485
4486    There is a carry propagating bug in the x86_64 Montgomery squaring
4487    procedure. No EC algorithms are affected. Analysis suggests that attacks
4488    against RSA and DSA as a result of this defect would be very difficult to
4489    perform and are not believed likely. Attacks against DH are considered just
4490    feasible (although very difficult) because most of the work necessary to
4491    deduce information about a private key may be performed offline. The amount
4492    of resources required for such an attack would be very significant and
4493    likely only accessible to a limited number of attackers. An attacker would